WO2019062235A1 - 用于调用网络功能服务的方法、装置和系统 - Google Patents

用于调用网络功能服务的方法、装置和系统 Download PDF

Info

Publication number
WO2019062235A1
WO2019062235A1 PCT/CN2018/093421 CN2018093421W WO2019062235A1 WO 2019062235 A1 WO2019062235 A1 WO 2019062235A1 CN 2018093421 W CN2018093421 W CN 2018093421W WO 2019062235 A1 WO2019062235 A1 WO 2019062235A1
Authority
WO
WIPO (PCT)
Prior art keywords
network function
information
function module
module
service
Prior art date
Application number
PCT/CN2018/093421
Other languages
English (en)
French (fr)
Inventor
谭帅帅
甘露
张博
吴�荣
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP18860269.2A priority Critical patent/EP3570515B1/en
Publication of WO2019062235A1 publication Critical patent/WO2019062235A1/zh
Priority to US16/566,018 priority patent/US11218314B2/en
Priority to US17/540,664 priority patent/US11956361B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/50—Network services
    • H04L67/60—Scheduling or organising the servicing of application requests, e.g. requests for application data transmissions using the analysis and optimisation of the required network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/082—Access security using revocation of authorisation

Definitions

  • the present application relates to the field of communications, and more particularly to a method, apparatus and system for invoking a network function service in the field of communications.
  • service-based network architecture a network entity based on a specific network function that can be provided is called a network function.
  • Function, NF Function
  • network functions can be provided as a service.
  • any two network function modules can interact in a manner that is invoked by a network function service through a serviced interface. Since the protocol stacks of all serviced interfaces are unified, that is, a network function service provided by a network function module with a serviced interface can be called by any other network function module, so that there is a threat of abuse of network function services, and security Poor performance.
  • the present application provides a method, apparatus and system for invoking a network function service, which can improve the security of calling a network function service.
  • the present application provides a method for invoking a network function service, the method comprising:
  • the authorization module receives the first request message sent by the first network function module, where the first request message is used to request to obtain the call permission of the first network function service provided by the second network function module, where the first request message carries the first information,
  • the second information and the third information the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first network function service;
  • the authorization module sends a token to the first network function module, where the token is used to indicate that the first network function module has the The permission of the first network function service of the second network function module.
  • the network function module in the embodiment of the present application has a specific function and a network interface, and may be a network element on dedicated hardware, a software instance running on dedicated hardware, or a related platform (such as a cloud infrastructure).
  • the virtual function instance is not limited in this embodiment of the present application.
  • the method for invoking a network function service provided by the embodiment of the present application, when the authorization module determines that the first network function module has the right to invoke the first network function service provided by the second network function module, the authorization module is to the first
  • the network function module sends a token, the token is used to indicate that the first network function module has the right to invoke the second network function service, so that the first network function module uses the token to invoke the second network function module to provide
  • the first network function service can improve the security of calling the network function service.
  • the method further includes: the authorization module generates the Token.
  • the first network function module may provide at least one network function service
  • the second network function module may provide at least one network function service
  • the at least one network function service provided by the first network function module is The at least one network function service provided by the second network function module is different.
  • the first information may include a type and/or an identifier of the first network function module
  • the second information may include a type and/or an identifier of the second network function module
  • the third information may include the first
  • the identifier of a network function service is not limited in this embodiment of the present application.
  • the type of the network function module in the embodiment of the present application may include an access and mobility management function, a session management function, a network function database function, a network open function, an application function, and the like, which are not limited in this embodiment of the present application.
  • the identifier of the network function module in the embodiment of the present application may include a name, an identifier, a number, a domain name, a network access identifier, a network protocol address, and the like.
  • the identifier of the network function service in the embodiment of the present application may include the name, the identifier, the number, and the like of the network function service, which is not limited by the embodiment of the present application.
  • the authorization module may determine, according to the type of the first network function module, the type of the second network function module, the identifier of the first network function service, and the pre-configured first authorization information. Whether a network function module has the right to invoke the first network function service.
  • the first authorization information is used to indicate at least one type of network function module that is allowed to invoke the first network function service.
  • the first authorization information may include at least one type of network function module that allows the first network function service to be invoked.
  • the authorization module may determine whether to grant according to the identifier of the first network function module, the identifier of the second network function, the identifier of the first network function service, and the pre-configured second authorization information.
  • the second authorization information is used to indicate at least one network function module that is allowed to invoke the first network function service.
  • the second authorization information may include an identifier of each of the at least one network function module that allows the first network function service to be invoked.
  • the authorization module may be configured according to the type of the first network function module, the identifier of the first network function module, the type of the second network function module, the identifier of the second network function module, and the pre-
  • the configured third authorization information determines whether the first network function module has the right to invoke the first network function service.
  • the third authorization information is used to indicate at least one type of network function modules that are allowed to invoke the first network function service, and at least one network function module corresponding to each type of the at least one type.
  • the third authorization information may include at least one type of network function modules that allow the first network function service to be invoked, and an identifier of each of the at least one network function module corresponding to each type.
  • the first request message may further carry an identifier of a network slice to which the first network function module belongs, an identifier of an operator that provides a service for the first network function module, and a service request parameter of the first network function module. At least one of the embodiments of the present application does not limit this.
  • a network slice can be understood as a logical network capable of providing specific network capabilities and network characteristics, and a plurality of network function modules can be included in one network slice.
  • the identifier of the network slice in the embodiment of the present application may be a name, a domain name, an identifier, a number, and the like of the network slice; the identifier of the network may be a public land mobile network identifier, a name, a number, etc., the application The embodiment does not limit this.
  • the token carries the fourth information, the fifth information, and the sixth information, where the fourth information is used to indicate that the network function module that requests to invoke the network function service is the first network function module, where The fifth information is used to indicate that the network function module that provides the network function service is the second network function module, and the sixth information is used to indicate that at least one of the second network function module is provided by the first network function module.
  • the fourth information may include a type and/or an identifier of a network function module requesting to invoke a network function service
  • the fifth information may include a type and/or an identifier of a network function module that provides a network function service
  • the sixth The information may include an identifier of each of the at least one network function service, which is not limited by the embodiment of the present application.
  • the token may also carry an identifier of the token, a message verification code (digital signature), and an algorithm of the message verification code (digital signature).
  • a message verification code digital signature
  • an algorithm of the message verification code digital signature
  • the token may further carry at least one of an effective time and an expiration time of the token or an expiration date.
  • the token may also carry a valid duration when the token carries an effective time or an expiration time.
  • the token may also carry the identifier of the operator or the identifier of the authorization module that issues the token, which is not limited in this embodiment of the present application.
  • the provided network architecture may further include a user data management module, and the authorization module may request the user data management module to request an authorization policy of the first network function service corresponding to the user equipment.
  • the first network function service is for serving a user equipment, and the method further includes:
  • the authorization module sends a second request message to the user data management module, where the second request message is used to request the authorization policy of the first network function service corresponding to the user equipment, and the second request message carries the identifier of the user equipment.
  • the authorization policy is used to indicate whether the first network function module is granted the right to invoke the first network function service corresponding to the user equipment;
  • the authorization module receives an authorization policy sent by the user data management module according to the identifier of the user equipment;
  • the authorization module determines, according to the first information, the second information, and the third information, whether the first network function module has the right to invoke the first network function service, including:
  • the authorization module determines, according to the first information, the second information, the third information, and the authorization policy, whether the first network function module has a right to invoke the first network function service.
  • the user data management module may pre-configure an authorization policy or an authorization rule of the at least one network function service corresponding to each user equipment in the at least one user equipment in the network, which is not limited in this embodiment.
  • the method further includes: the authorization module sending, to the second network function module, seventh information, where the seventh information includes an identifier of the at least one token that has been revoked.
  • the authorization module indicates at least one token that has been revoked to the second network function module, so that the second network function module can confirm the validity of the token by itself. There is no need to send the token to the authorization module confirmation each time, which can reduce the signaling overhead.
  • the method further includes: the token further carrying an identifier of the token, the method further comprising:
  • the authorization module receives a third request message sent by the second network function module, where the third request message carries the token;
  • the authorization module verifies the validity of the token according to the identifier of the token to obtain a verification result
  • the authorization module sends the verification result to the second network function module.
  • the second network function module sends the token to be verified to the authorization module, and requests the authorization module to verify the validity of the token, and can reduce the second network function module.
  • the complexity of the authentication token is not limited to the Wi-Fi Protected Access
  • the application provides a method for invoking a network function service, the method comprising:
  • the first network function module sends a fourth request message to the second network function module, where the fourth request message is used to request to invoke the first network function service provided by the second network function module, and the fourth request message carries the first information.
  • the second information is used to indicate the first network function module, where the second information is used to indicate the second network function module, where the third information is used to indicate the first a network function service, the token is used to indicate that the first network function module has the right to invoke the first network function service of the second network function module;
  • the network function module in the embodiment of the present application has a specific function and a network interface, and may be a network element on dedicated hardware, a software instance running on dedicated hardware, or a related platform (such as a cloud infrastructure).
  • the virtual function example on the basis of the present application is not limited thereto.
  • the token carries a fourth information, a fifth information, and a sixth information, where the fourth information is used to indicate a network function module that requests to invoke a network function service, where the fifth information is used to indicate that the The network function module of the network function service, the sixth information is used to indicate at least one network function service provided by the second network function module that the first network function module has permission to invoke.
  • the method before the first network function module sends the fourth request message to the second network function module, the method further includes:
  • the first network function module sends a first request message to the authorization module, where the first request message is used to request to obtain the calling right of the first network function service, where the first request message carries the first information, the second information, and The third information;
  • the first network function module receives the token sent by the authorization module, and the token is sent according to the first information, the second information, and the third information.
  • the token in the embodiment of the present application can be reused within the validity period, and it is not necessary to obtain a token every time the network function service is requested, which can save signaling overhead.
  • the start time of the validity period may be the effective time of the token, and the end time of the validity period may be the expiration time of the token, which is not limited by the embodiment of the present application.
  • the token in the embodiment of the present application carries the sixth information, where the sixth information is used to indicate at least one network function service that is authorized, when the first network function module requests the at least one network function service.
  • the sixth information is used to indicate at least one network function service that is authorized, when the first network function module requests the at least one network function service.
  • the first network function module may further invoke the second network function service by using the token.
  • the first network function module may use the token to invoke the authorized at least one network function service multiple times.
  • the application provides a method for invoking a network function service, the method comprising:
  • the second network function module receives a fourth request message sent by the first network function module, where the fourth request message is used to request to invoke the first network function service provided by the second network function module, and the fourth request message carries the first Information, the second information, the third information, and the token, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first a network function service, the token carries a fourth information, a fifth information, and a sixth information, where the fourth information is used to indicate a network function module requesting to invoke a network function service, where the fifth information is used to indicate that the network function service is provided. a network function module, the sixth information is used to indicate at least one network function service provided by the second network function module, which is invoked by the first network function module;
  • the second network function module Determining, by the second network function module, whether the network function module indicated by the fourth information is the same as the first network function module, whether the network function module indicated by the fifth information is the same as the second network function module, and the sixth information Whether the indicated at least one network function service includes the first network function service;
  • the network function module indicated by the fourth information is the same as the first network function module
  • the network function module indicated by the fifth information is the same as the second network function module
  • the at least one network function indicated by the sixth information is
  • the service includes the first network function service
  • the second network function module sends a service response message of the first network function service to the first network function module.
  • the second network function module matches the information in the fourth request message sent by the first network function module with the information in the token, and when the matching is successful, Sending a service response message to the first network function module can improve the security of calling the network function service.
  • the second network function module may match the information in the fourth request message with the information in the token, that is, the first information in the fourth request message and the first one in the token.
  • the fourth information is matched, the second information in the fourth request message is matched with the fifth information in the token, and the third information in the fourth request message and the sixth information in the token are performed. Match and get the matching result.
  • the first information may include a type and/or an identifier of the first network function module
  • the second information may include a type and/or an identifier of the second network function module
  • the third information may include the first
  • the identifier of a network function service is not limited in this embodiment of the present application.
  • the fourth information may include a type and/or an identifier of a network function module requesting to invoke a network function service
  • the fifth information may include a type and/or an identifier of a network function module that provides a network function service
  • the sixth The information may include an identifier of each of the at least one network function service, which is not limited by the embodiment of the present application.
  • the type of the network function module in the embodiment of the present application may include an access and mobility management function, a session management function, a network function database function, a network open function, an application function, and the like, which are not limited in this embodiment of the present application.
  • the identifier of the network function module in the embodiment of the present application may include a name, an identifier, a number, a domain name, a network access identifier, a network protocol address, and the like.
  • the identifier of the network function service in the embodiment of the present application may include the name, the ID, the number, and the like of the network function service, which is not limited in this embodiment of the present application.
  • the token further carries an identifier of the token
  • the method further includes:
  • the second network function module sends the third request message to the authorization module, where the third request message carries the token;
  • the authorization module may be based on the identifier of the token and the locally stored at least one token that has been revoked Identifying, verifying the validity of the token to obtain a first verification result, and sending the first verification result to the second network function module;
  • the second network function module sends a service response message of the first network function service to the first network function module, including: when it is determined that the first verification result is valid, the request authorization
  • the network function module is the same as the first network function module
  • the authorized network function module is the same as the second network function module
  • the authorized at least one network function service includes the first network function service, the first The second network function module sends a service response message of the first network function service to the first network function module.
  • the token further carries an identifier of the token
  • the method further includes:
  • the second network function module sends a service response message of the first network function service to the first network function module, including: determining that the identifier of the at least one token does not include the The identifier of the card, the network function module indicated by the fourth information is the same as the first network function module, the network function module indicated by the fifth information is the same as the second network function module, and the sixth information indicates at least one When the network function service includes the first network function service, the second network function module sends a service response message of the first network function service to the first network function module.
  • the authorization module may periodically send the seventh information to the second network function module, or the authorization module may send the seventh information to the second network function module according to the request of the second network module, the application The embodiment does not limit this.
  • the method for invoking a network function service provided by the embodiment of the present application, the authorization module or the second network function module, according to whether the identifier of the at least one token that has been revoked includes an order for invoking the first network function service
  • the identification of the card confirms whether the token has been revoked, and can prevent the use of the invalid function token that has been revoked to invoke the network function service, thereby improving the security of calling the network function service.
  • the authorization module indicates at least one token that has been revoked to the second network function module, so that the second network function module can confirm the validity of the token by itself without sending the token to the authorization module confirmation each time. Thereby the overhead of signaling can be reduced.
  • the token may further carry at least one of a message verification code and a digital signature.
  • the method further includes:
  • the second network function module verifies the message verification code and/or the digital signature, and obtains a second verification result, where the second verification result may be success or failure;
  • the authorized network function module is the same as the second network function module, and the authorized at least one network function service includes the first network function
  • the second network function module sends the service response message of the first network function service to the first network function module, including: when determining that the second verification result is successful, the requesting authorized network function module and the first a network function module is the same, the authorized network function module is the same as the second network function module, and when the authorized at least one network function service includes the first network function service, the second network function module is to the first A network function module sends a service response message of the first network function service.
  • the token further carries at least one of an effective time and an expiration time of the token or an expiration date.
  • the token may also carry a valid duration when the token carries an effective time or an expiration time.
  • the validity period of the token can be expressed as the effective time and the expiration time, or the effective time + effective duration.
  • the second network function module may verify the validity period of the token according to at least one of an effective time and an expiration time of the token, to obtain a third verification result, and the third verification The result can be valid or invalid.
  • the network function module authorized by the request is the same as the first network function module
  • the authorized network function module is the same as the second network function module
  • the authorized at least one network
  • the second network function module sends a service response message of the first network function service to the first network function module.
  • the method for invoking a network function service provided by the embodiment of the present application, the second network function module, according to at least one of an effective time and an expiration time of the token in the token, validating whether the token is valid, It can prevent the use of expired invalid tokens to invoke network function services, which can improve the security of calling network function services.
  • the application provides a system for invoking a network function service, where the system includes: a first network function module, a second network function module, and an authorization module;
  • the first network function module is configured to send a first request message to the authorization module, where the first request message is used to request to obtain a call permission of a first network function service provided by the second network function module, where the first request message carries An information, a second information, and a third information, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first network Functional service
  • the authorization module is configured to receive the first request message sent by the first network function module, and determine, according to the first information, the second information, and the third information, whether the first network function module has the first network The right of the function service; when it is determined that the first network function module has the right to invoke the first network function service, sending a token to the first network function module, the token carrying the fourth information, the fifth information, and the sixth Information, the fourth information is used to indicate that the network function module that requests the network function service is the first network function module, and the fifth information is used to indicate that the network function module that provides the network function service is the second network function module, The sixth information is used to indicate at least one network function service provided by the second network function module, and the at least one network function service includes the first network function service;
  • the first network function module is further configured to receive the token sent by the authorization module, and send a fourth request message to the second network function module, where the fourth request message is used to request to invoke the first network function service, and the The fourth request message carries the first information, the second information, the third information, and the token;
  • the second network function module is configured to receive the fourth request message sent by the first network function module, determine whether the network function module indicated by the fourth information is the same as the first network function module, and the network indicated by the fifth information Whether the function module is the same as the second network function module, and whether the at least one network function service indicated by the sixth information includes the first network function service; when determining the network function module indicated by the fourth information and the first The network function module is the same, the network function module indicated by the fifth information is the same as the second network function module, and the at least one network function service indicated by the sixth information includes the first network function service, and the first network is The function module sends a service response message of the first network function service;
  • the first network function module is further configured to receive the service response message sent by the second network function module.
  • the first network function service is for a user equipment
  • the system further includes a user data management module.
  • the authorization module is further configured to send a second request message to the user data management module, where the second request message is used to request an authorization policy of the first network function service corresponding to the user equipment, and the second request message carries the user equipment And the authorization policy is used to indicate whether the first network function module is granted the right to invoke the first network function service corresponding to the user equipment;
  • the user data management module is configured to receive the second request message sent by the authorization module, determine an authorization policy of the first network function service corresponding to the user equipment according to the identifier of the user equipment, and send the authorization policy to the authorization module. ;
  • the authorization module is configured to receive an authorization policy that is sent by the user data management module according to the identifier of the user equipment, and determine the first network function module according to the first information, the second information, the third information, and the authorization policy. Whether there is permission to call the first network function service.
  • the token further carries an identifier of the token.
  • the authorization module is further configured to send, to the second network function module, seventh information, where the seventh information includes an identifier of the at least one token that has been revoked;
  • the second network function module is specifically configured to receive the seventh information sent by the authorization module, determine whether the token is included in the at least one token, and determine that the at least one token does not include the token, and the fourth information indication
  • the network function module is the same as the first network function module
  • the network function module indicated by the fifth information is the same as the second network function module
  • the at least one network function service indicated by the sixth information includes the first network function
  • the service response message of the first network function service is sent to the first network function module.
  • the token further carries an identifier of the token
  • the second network function module is further configured to send a third request message to the authorization module, where the third request message is used to request verification of the command.
  • the validity of the card, and the third request message carries the token
  • the authorization module is further configured to receive the third request message sent by the second network function module, verify the validity of the token according to the identifier of the token, to obtain a verification result, and send the verification result to the second network function module.
  • Validation results
  • the second network function module is specifically configured to: when determining that the verification result is valid, the network function module indicated by the fourth information is the same as the first network function module, and the network function module indicated by the fifth information and the second network function When the module is the same, and the at least one network function service indicated by the sixth information includes the first network function service, the service response message of the first network function service is sent to the first network function module.
  • the application provides a system for invoking a network function service, where the system includes: a first network function module, a second network function module, and an authorization module;
  • the first network function module is configured to send a first request message to the second network function module, where the first request message is used to request to invoke a first network function service provided by the second network function module, where the first request message carries the first Information, a second information, and a third information, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first network function service;
  • the second network function module is configured to receive the first request message sent by the first network function module, and send a second request message to the authorization module according to the first information, the second information, and the third information, where The second request message is used to request to verify that the first network function module invokes the first network function service, and the second request message carries the first information, the second information, and the third information;
  • the authorization module is configured to receive the second request message sent by the second network function module, and verify, according to the first information, the second information, and the third information, whether the first network function module has the first network
  • the authority of the function service to obtain a verification result, the verification result includes the first network function module having the right to invoke the first network function service or the first network function module not having the right to invoke the first network function service;
  • the second network function module sends the verification result;
  • the second network function module is further configured to receive the verification result sent by the second network function module, and when the verification result is that the first network function module has the right to invoke the first network function service, to the first network
  • the function module sends a service response message of the first network function service
  • the first network function module is further configured to receive the service response message sent by the second network function module.
  • the present application provides an apparatus for invoking a network function service for performing the method of any of the above first aspect or any of the possible implementations of the first aspect.
  • the present application provides an apparatus for invoking a network function service for performing the method of any of the above-described second aspect or any of the possible implementations of the second aspect.
  • the present application provides an apparatus for invoking a network function service for performing the method of any of the above third aspect or any possible implementation of the third aspect.
  • the present application provides an apparatus for invoking a network function service, the apparatus comprising: a memory, a processor, a transceiver, and a computer program stored on the memory and operable on the processor, characterized
  • the method of any of the above-described first aspects or any of the possible implementations of the first aspect is performed when the processor executes the computer program.
  • the present application provides an apparatus for invoking a network function service, the apparatus comprising: a memory, a processor, a transceiver, and a computer program stored on the memory and operable on the processor, characterized by The method of any of the possible implementations of the second aspect or the second aspect described above is executed when the processor executes the computer program.
  • the present application provides an apparatus for invoking a network function service, the apparatus comprising: a memory, a processor, a transceiver, and a computer program stored on the memory and executable on the processor,
  • the method is characterized in that the processor executes the method in any of the possible implementations of the third aspect or the third aspect.
  • the present application provides a computer readable medium for storing a computer program, the computer program comprising instructions for performing the method of the first aspect or any of the possible implementations of the first aspect.
  • the present application provides a computer readable medium for storing a computer program comprising instructions for performing the method of any of the second aspect or any of the possible implementations of the second aspect.
  • the present application provides a computer readable medium for storing a computer program comprising instructions for performing the method of any of the third aspect or any of the possible implementations of the third aspect.
  • the present application provides a computer program product comprising instructions which, when run on a computer, cause the computer to perform the method of any of the first aspect or the first aspect of the first aspect.
  • the present application provides a computer program product comprising instructions which, when run on a computer, cause the computer to perform the method of any of the second aspect or the second aspect of the second aspect.
  • the present application provides a computer program product comprising instructions which, when run on a computer, cause the computer to perform the method of any of the above-described third or third aspects of the possible implementation.
  • the present application provides a chip, including: an input interface, an output interface, at least one processor, and a memory, where the input interface, the output interface, the processor, and the memory are connected by a bus.
  • the processor is operative to execute code in the memory, the processor being operative to perform the method of any of the first aspect or the first aspect of the first aspect when the code is executed.
  • the present application provides a chip, including: an input interface, an output interface, at least one processor, and a memory, where the input interface, the output interface, the processor, and the memory are connected by a bus.
  • the processor is operative to execute code in the memory, the processor being operative to perform a method in any of the possible implementations of the second aspect or the second aspect described above when the code is executed.
  • the present application provides a chip, including: an input interface, an output interface, at least one processor, and a memory, where the input interface, the output interface, the processor, and the memory are connected by a bus.
  • the processor is operative to execute code in the memory, the processor being operative to perform a method in any of the possible implementations of the third aspect or the third aspect described above when the code is executed.
  • FIG. 1 is a schematic block diagram of a service-based network architecture of an embodiment of the present application.
  • FIG. 2 is a schematic flowchart of a method for invoking a network function service according to an embodiment of the present application
  • FIG. 3 is a schematic diagram of a format of a token according to an embodiment of the present application.
  • FIG. 4 is a schematic flowchart of another method for invoking a network function service according to an embodiment of the present application
  • FIG. 5 is a schematic flowchart of another method for invoking a network function service according to an embodiment of the present application.
  • FIG. 6 is a schematic diagram of a format of an authorization table according to an embodiment of the present application.
  • FIG. 7 is a schematic flowchart of still another method for invoking a network function service according to an embodiment of the present application.
  • FIG. 8 is a schematic block diagram of an apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 9 is a schematic block diagram of another apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 10 is a schematic block diagram of another apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 11 is a schematic block diagram of another apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 12 is a schematic block diagram of another apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 13 is a schematic block diagram of another apparatus for invoking a network function service according to an embodiment of the present application.
  • FIG. 14 is a schematic block diagram of a system for invoking a network function service according to an embodiment of the present application.
  • FIG. 1 is a schematic block diagram of a service-based network architecture provided by an embodiment of the present application.
  • the network architecture is based on services and obtains a plurality of different types of network function modules, and the network function modules interact with each other through a serviced interface in a manner called by a network function service.
  • the network function module in the embodiment of the present application has a specific function and a network interface, and may be a network element on dedicated hardware, a software instance running on dedicated hardware, or a related platform (such as a cloud infrastructure).
  • the virtual function example on the basis of the present application is not limited thereto.
  • a radio access network (RAN) module 102 is responsible for accessing a user equipment (UE) 101. It can be understood that the RAN can also be abbreviated as AN in the actual expression process.
  • the UE in this embodiment may be mobile or fixed, and the UE may refer to an access terminal, a terminal device, a mobile terminal, a subscriber unit, a subscriber station, a mobile station, a mobile station, a remote station, and a remote terminal.
  • the access terminal may be a cellular phone, a cordless phone, a session initiation protocol (SIP) phone, a wireless local loop (WLL) station, a personal digital assistant (PDA), with wireless communication.
  • 5G fifth-generation
  • NR new radio
  • Access and mobility management function (AMF) module 103 responsible for the similarity of mobility management in an existing mobile management entity (MME) for controlling UE resources to network resources Access and manage the movement of the UE.
  • MME mobile management entity
  • the AMF module 103 and the RAN module 102 communicate with each other to process the access network control plane, where N2 is not a serviced interface.
  • An authentication server function (AUSF) module 104 responsible for the generation of a key and two-way authentication with the UE 101.
  • Session management function (SMF) module 105 responsible for managing the session of the UE, including the establishment, modification and release of the session.
  • SMF Session management function
  • the network exposure function (NEF) module 106 is responsible for securely providing network function services in the core network to external network entity services, and converting internal and external network information.
  • NF repository function (NRF) module 107 responsible for functions such as service discovery.
  • a policy control function (PCF) module 108 a unified policy framework for managing network behavior; providing policy rules for performing control plane functions.
  • PCF policy control function
  • a unified data management (UDM) module 109 includes a front end (FE) and a user data repository (UDR).
  • FE is responsible for credit rating processing, location management, subscription management and other functions, and can access user subscription data stored in the UDR.
  • UDR is a user subscription data storage server, which is responsible for providing user subscription data to the front end.
  • Application function (AF) module 110 provides an application service.
  • the AMF module 103 has a serviced interface NAMF
  • the SMF module 105 has a serviced interface NSMF
  • the AUSF module 104 has a serviced interface NAUSF
  • the NEF module 106 has a serviced interface NNEF
  • the NRF module 107 has a serviced interface.
  • the NNRF, PCF module 108 has a serviced interface NPCF
  • the UDM module 109 has a serviced interface NUDM
  • the AF module 110 has a serviced interface NAF.
  • each network function module invokes a network function service through a service interface. Since the service interface of the whole network supports a unified communication protocol, this means that a network function module with a service interface It can be accessed by any other network function module with a serviced interface, that is, a network function service provided by a network function module with a serviced interface can be called by any other network function module with a serviced interface. In this way, in the service-based network architecture, the problem of abuse of network function services may occur, and the security performance is poor.
  • AF in the traditional network architecture, there is no communication interface between AF and UDM, that is, AF cannot directly access UDM, but in the service-based network architecture, AF has the ability to invoke network function services in UDM, because UDM stores The sensitive information related to the user, the AF can call the network function service in the UDM through the service interface, which may lead to the leakage of user information.
  • the method for invoking a network function service provided by the embodiment of the present application can improve the security of calling a network function service.
  • FIG. 2 is a schematic flowchart of a method 200 for invoking a network function service provided by an embodiment of the present application, and the method 200 can be applied to a network architecture as shown in FIG. 1.
  • the first network function module sends a first request message to the authorization module, where the first request message is used to request to obtain a call permission of the first network function service provided by the second network function module, where the first request message carries the first information.
  • the second information is used to indicate the first network function module
  • the second information is used to indicate the second network function module
  • the third information is used to indicate the first network function service.
  • the authorization module receives the first request message sent by the first network function module.
  • the first network function module may provide at least one network function service
  • the second network function module may provide at least one network function service
  • the first network function module and the network provided by the second network function module Functional services are different.
  • the authorization module may be, for example, the NRF module shown in FIG. 1.
  • the first network function module and the second network function module may be any other than the NRF module, the RAN, and the UE shown in FIG. 1.
  • Two network function modules may be the first network function module.
  • the first network function module may be the NEF module in FIG. 1
  • the second network function module may be the AF module in FIG. 1 , which is not limited in this embodiment of the present application.
  • the first information may include a type and/or an identifier of the first network function module
  • the second information may include a type and/or an identifier of the second network function module
  • the third information may include the first
  • the identifier of a network function service is not limited in this embodiment of the present application.
  • the type of the network function module in the embodiment of the present application may include AMF, SMF, NRF, NEF, AF, etc., which is not limited in this embodiment of the present application.
  • the identifier of the network function module in the embodiment of the present application may include a name, an ID, an identifier, a domain name, a network access identifier (NAI), an internet protocol (IP) address, and the like. This embodiment of the present application does not limit this.
  • the identifier of the network function service in the embodiment of the present application may include the name, the ID, the number, and the like of the network function service, which is not limited in this embodiment of the present application.
  • the authorization module determines, according to the first information, the second information, and the third information, whether the first network function module has a right to invoke the first network function service.
  • the authorization module may determine, according to the type of the first network function module, the type of the second network function module, the identifier of the first network function service, and the pre-configured first authorization information, whether the first network function module has The permission to call the first network function service.
  • the first authorization information is used to indicate at least one type of network function module that is allowed to invoke the first network function service.
  • the authorization module may acquire the first authorization information according to the type of the second network function module and the identifier of the first network function service; and when the at least one type indicated by the first authorization information includes the first network The authorization module determines that the first network function module has the right to invoke the first network function service; or when the at least one type indicated by the first authorization information does not include the type of the first network function module The authorization module determines that the first network function module does not have the right to invoke the first network function service.
  • the first authorization information may include at least one type of network function module that allows the first network function service to be invoked.
  • the first information includes an identifier of the first network function module
  • the second information includes an identifier of the second network function module
  • the authorization module may Determining whether to grant the calling right of the first network function service according to the identifier of the first network function module, the identifier of the second network function, the identifier of the first network function service, and the pre-configured second authorization information.
  • the second authorization information is used to indicate at least one network function module that is allowed to invoke the first network function service.
  • the authorization module may acquire the second authorization information according to the identifier of the second network function module and the identifier of the first network function service; and when the at least one network function module indicated by the second authorization information includes the first When the network function module is configured, the authorization module determines that the first network function module has the right to invoke the first network function service; or when the at least one network function module indicated by the second authorization information does not include the first network function module, The authorization module determines that the first network function module does not have permission to invoke the first network function service.
  • the second authorization information may include an identifier of each of the at least one network function module that allows the first network function service to be invoked.
  • the first information includes a type of the first network function module and an identifier of the first network function module
  • the second network function module includes a type of the second network function module and the second An identifier of the network function module
  • the authorization module may be configured according to the type of the first network function module, the identifier of the first network function module, and the second network function module
  • the type, the identifier of the second network function module, and the pre-configured third authorization information determine whether the first network function module has the right to invoke the first network function service.
  • the third authorization information is used to indicate at least one type of network function modules that are allowed to invoke the first network function service, and at least one network function module corresponding to each type of the at least one type.
  • the authorization module may acquire the third authorization information according to the type of the second network function module, the identifier of the second network function module, and the identifier of the first network function service; when the third authorization information indicates the When the at least one type includes the type of the first network function module, and the at least one network function module includes the first network function module, the authorization module determines that the first network function module has the right to invoke the first network function service Or when the at least one type does not include the type of the first network function module, or when the at least one network function module indicated by the third authorization information does not include the first network function module, the authorization module determines the first The network function module does not have permission to call the first network function service.
  • the third authorization information may include at least one type of network function modules that allow the first network function service to be invoked, and an identifier of each of the at least one network function module corresponding to each type.
  • the first request message may further carry an identifier of a network slice to which the first network function module belongs, an identifier of an operator that provides a service for the first network function module, and a service request parameter of the first network function module. At least one of the embodiments of the present application does not limit this.
  • a network slice can be understood as a logical network capable of providing specific network capabilities and network characteristics, and a plurality of network function modules can be included in one network slice.
  • the identifier of the network slice in the embodiment of the present application may be a name, a domain name, an ID, a number, and the like of the network slice; the identifier of the network may be a public land mobile network (PLMN) ID.
  • PLMN public land mobile network
  • the S220 may be configured by the authorization module according to the identifier of the network slice to which the first network function module belongs, the identifier of the operator that provides the service for the first network function module, and the service request parameter of the first network function module. And determining, by the at least one item, the first information, the second information, and the third information, whether the first network function module has the right to invoke the first network function service.
  • the provided network architecture may further include a user data management module, and the authorization module may request the user data management module to request an authorization policy of the first network function service corresponding to the user equipment.
  • the user data management module may be a UDM as shown in FIG. 1 , which is not limited in this embodiment of the present application.
  • the authorization module may send a second request message to the user data management module, where the second request message is used to request the corresponding An authorization policy of the first network function service, and the second request message carries an identifier of the user equipment, where the authorization policy is used to indicate whether the first network function module is granted to invoke the first network function service corresponding to the user equipment.
  • Authorization module The authorization module receives an authorization policy sent by the user data management module according to the identifier of the user equipment.
  • the S220 may determine, according to the first information, the second information, the third information, and the authorization policy, whether the first network function module has the right to invoke the first network function service.
  • the user data management module may pre-configure an authorization policy or an authorization rule of the at least one network function service corresponding to each user equipment in the at least one user equipment in the network, which is not limited in this embodiment.
  • the authorization module sends a token to the first network function module, where the token is used to indicate that the first network function module has a call.
  • the right of the first network function service of the second network function module; correspondingly, the first network function module receives the token sent by the authorization module.
  • the method further includes: the authorization module generates the token.
  • the authorization module may perform identity authentication on the first network function module; S230 may be when it is determined that the identity authentication is successful, and the first network function module has the right to invoke the first network function service.
  • the authorization module sends the token to the first network function module.
  • the method for invoking a network function service provided by the embodiment of the present application, when the identity authentication of the first network function module is successful, the authorization module sends the token to the first network function module, which can improve the security of the authorization.
  • the first network function module can also perform identity authentication on the authorization module, so as to further enhance communication security.
  • the method for identity authentication in the embodiment of the present application may include an encryption algorithm based on a symmetric key or an encryption algorithm based on asymmetric encryption, which is not limited in this embodiment of the present application.
  • FIG. 3 is a schematic diagram showing the format of a token provided by an embodiment of the present application.
  • the token may carry the fourth information, the fifth information, and the sixth information, where the fourth information is used to indicate that the network function module requesting to invoke the network function service is the first network function module, and the fifth The information is used to indicate that the network function module that provides the network function service is the second network function module, where the sixth information is used to indicate at least one network that is provided by the second network function module that is authorized to be invoked by the first network function module.
  • a functional service, the at least one network function service including the first network function service.
  • the fourth information may include a type and/or an identifier of a network function module requesting to invoke a network function service
  • the fifth information may include a type and/or an identifier of a network function module that provides a network function service
  • the sixth The information may include an identifier of each of the at least one network function service, which is not limited by the embodiment of the present application.
  • the token may also carry an identifier of the token, a message verification code (digital signature), and an algorithm of the message verification code (digital signature).
  • a message verification code digital signature
  • an algorithm of the message verification code digital signature
  • the method for calculating the message verification code may be MAC (info, K), where info includes information recorded in the token (except for the message verification code and the digital signature), and K is shared by the authorization module and the first network function module.
  • info includes information recorded in the token (except for the message verification code and the digital signature)
  • K is shared by the authorization module and the first network function module.
  • the MAC is a calculation function of the message authentication code, for example, based on a hashed-hash message authentication code (HMAC) algorithm.
  • HMAC hashed-hash message authentication code
  • the calculation method of the digital signature may be E (PRAS, info), where info includes information recorded in the token (except for the message verification code and the digital signature), PRAS is the private key of the authorization module, and E is asymmetric.
  • Encryption algorithms such as the RSA (Rivest–Shamir–Adleman) algorithm.
  • the token may also carry at least one of an effective time and an expiration time of the token or an expiration date.
  • the token may also carry a valid duration when the token carries an effective time or an expiration time.
  • the validity time of the token is 12:38:21 on January 01, 2017, which can be expressed as: 20170101123821; the expiration time of the token is 14:40 on February 1, 2017. 51 seconds, can be expressed as: 20170201144051; the token is valid from the effective time to the expiration time (ie 12:38:21 on January 1, 2017 to 14:40:51 on February 1, 2017), It is expressed as 20170101123821 ⁇ 20170201144051; the effective duration can be the time difference between the expiration time and the effective time (ie, January 2, 2 hours, 2 minutes, 30 seconds), which can be expressed as 00000100020230.
  • the token may also carry an identifier of the operator (for example, a PLMN ID) or an identifier of an authorization module that issues the token, which is not limited in this embodiment of the present application.
  • FIG. 4 is a schematic flowchart of a method 400 for invoking a network function service provided by an embodiment of the present application.
  • the method 400 can be applied, for example, to a network architecture as shown in FIG.
  • the first network function module sends a fourth request message to the second network function module, where the fourth request message is used to request to invoke the first network function service provided by the second network function module, and the fourth request message carries the first An information, a second information, a third information, and a token, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the a first network function service, the token carrying a fourth information, a fifth information, and a sixth information, the fourth information being used to indicate a network function module requesting to invoke a network function service, where the fifth information is used to indicate that the network function service is provided a network function module, the sixth information is used to indicate at least one network function service provided by the second network function module that is invoked by the first network function module; correspondingly, the second network function module receives the The fourth request message sent by a network function module.
  • the first information may include a type and/or an identifier of the first network function module
  • the second information may include a type and/or an identifier of the second network function module
  • the third information may include the first
  • the identifier of a network function service is not limited in this embodiment of the present application.
  • the fourth information may include a type and/or an identifier of a network function module requesting to invoke a network function service
  • the fifth information may include a type and/or an identifier of a network function module that provides a network function service
  • the sixth The information may include an identifier of each of the at least one network function service, which is not limited by the embodiment of the present application.
  • the type of the network function module in the embodiment of the present application may include AMF, SMF, NRF, NEF, AF, etc., which is not limited in this embodiment of the present application.
  • the identifier of the network function module in the embodiment of the present application may include a name, an ID, a number, a domain name, an NAI, an IP address, and the like.
  • the identifier of the network function service in the embodiment of the present application may include the name, the ID, the number, and the like of the network function service, which is not limited in this embodiment of the present application.
  • the second network function module determines whether the network function module indicated by the fourth information is the same as the first network function module, whether the network function module indicated by the fifth information is the same as the second network function module, and the Whether the at least one network function service indicated by the six information includes the first network function service.
  • the second network function module may match the information in the fourth request message with the information in the token, that is, the first information in the fourth request message and the first one in the token.
  • the fourth information is matched, the second information in the fourth request message is matched with the fifth information in the token, and the third information in the fourth request message and the sixth information in the token are performed. Match and get the matching result.
  • the network function module indicated by the fourth information when it is determined that the network function module indicated by the fourth information is the same as the first network function module, the network function module indicated by the fifth information is the same as the second network function module, and at least one of the sixth information is indicated.
  • the network function service includes the first network function service
  • the second network function module sends a service response message of the first network function service to the first network function module.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the first network function module may provide at least one network function service
  • the second network function module may provide at least one network function service
  • the first network function module and the network provided by the second network function module Functional services are different.
  • the authorization module may be, for example, the NRF module shown in FIG. 1.
  • the first network function module and the second network function module may be any other than the NRF module, the UE, and the RAN shown in FIG. 1.
  • Two network function modules may be the first network function module.
  • the first network function module may be the NEF module in FIG. 1
  • the second network function module may be the AF module in FIG. 1 , which is not limited in this embodiment of the present application.
  • the first information may include a type and/or an identifier of the first network function module
  • the second information may include a type and/or an identifier of the second network function module
  • the third information may include the first
  • the identifier of the network function service is not limited in this embodiment of the present application.
  • the authorization module may revoke the network function in the network function module.
  • the token issued by the service that is, the authorization module needs to confirm at least one token that has been revoked.
  • the authorization module may indicate to the second network function module at least one token that has been revoked, the second network function module itself validates the validity of the token; or the second network function module may The card is sent to the authorization module, and the authorization module is requested to verify the validity of the token to obtain the verification result, and the verification result is sent to the second network function module, which is not limited in this embodiment of the present application.
  • the token may include an identification of the token.
  • the second network function module may send the third request message to the authorization module, where the third request message carries the token; the authorization module may be based on the identifier of the token and The locally stored identifier of the at least one token that has been revoked, verifying the validity of the token to obtain a first verification result, and transmitting the first verification result to the second network function module; correspondingly, the second The network function module receives the first verification result sent by the authorization module according to the third request message, and the first verification result includes valid or invalid.
  • S430 may be the same as the first network function module when determining that the first verification result is valid, the authorized network function module is the same as the second network function module, and the authorized network function module is the same
  • the second network function module sends a service response message of the first network function service to the first network function module.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the second network function module verifies the validity of the token according to the identifier of the token and the identifier of the locally stored at least one token that has been revoked, to obtain a first verification result, which may be the first
  • the second network function module determines whether the identifier of the token is included in the identifier of the at least one token, and when the identifier of the token includes the identifier of the token, determining that the first verification result is invalid, when the at least When the identifier of the token is not included in the identifier of a token, it is determined that the first verification result is invalid.
  • the authorization module may indicate the first verification result by using at least one bit, which is not limited by the embodiment of the present application.
  • the authorization module may indicate the first verification result by 1 bit, the 1 bit is 1 for valid, and the 1 bit is 0 for invalid.
  • the second network function module may receive the seventh information sent by the authorization module, where the seventh information includes an identifier of the at least one token that has been revoked; determining the at least one order Whether the identifier of the token is included in the identification of the card.
  • S430 may be configured to determine that the identifier of the at least one token does not include the identifier of the token, and the network function module authorized by the request is the same as the first network function module, the authorized network function module and the second network function module When the at least one network function service that is authorized includes the first network function service, the second network function module sends a service response message of the first network function service to the first network function module.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the authorization module may periodically send the seventh information to the second network function module, or the authorization module may send the seventh information to the second network function module according to the request of the second network module, the application The embodiment does not limit this.
  • the method for invoking a network function service provided by the embodiment of the present application, the authorization module or the second network function module, according to whether the identifier of the at least one token that has been revoked includes an order for invoking the first network function service
  • the identification of the card confirms whether the token has been revoked, and can prevent the use of the invalid function token that has been revoked to invoke the network function service, thereby improving the security of calling the network function service.
  • the authorization module indicates at least one token that has been revoked to the second network function module, so that the second network function module can confirm the validity of the token by itself without sending the token to the authorization module confirmation each time. Thereby the overhead of signaling can be reduced.
  • the token may further carry at least one of a message verification code and a digital signature.
  • the second network function module may verify the message verification code and/or the digital signature to obtain a second verification result, which may be a success or a failure.
  • S440 may be the same as determining that the second verification result is successful, the network function module authorized by the request is the same as the first network function module, the authorized network function module is the same as the second network function module, and the authorized When the at least one network function service includes the first network function service, the second network function module sends a service response message of the first network function service to the first network function module.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the second network function module may indicate the first verification result by using at least one bit.
  • the second network module may indicate the first verification result by 1 bit, and the 1 bit is 1 for success, and the 1 bit is 0 for failure.
  • the second network function module verifies the message verification code or the digital signature, and provides the first network function service to the first network function module after the verification is passed, Improve the security of calling network function services.
  • the token further carries at least one of an effective time and an expiration time of the token or an expiration date.
  • the token may also carry a valid duration when the token carries an effective time or an expiration time.
  • the validity period of the token may be an effective time + an expiration time, or an effective time + an effective duration.
  • the second network function module may verify the validity period of the token according to at least one of an effective time and an expiration time of the token, to obtain a third verification result,
  • the third verification result may be valid or invalid.
  • S430 may be configured to determine that the third verification result is valid, the network function module authorized by the request is the same as the first network function module, the authorized network function module is the same as the second network function module, and the authorized When the at least one network function service includes the first network function service, the second network function module sends a service response message of the first network function service to the first network function module.
  • the authorization module may determine that the token is valid according to the current time being later than the effective time of the token and earlier than the expiration time of the token.
  • the authorization module may determine that the token is valid according to the current time within the validity period of the token.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the method for invoking a network function service provided by the embodiment of the present application, the second network function module, according to at least one of an effective time and an expiration time of the token in the token, validating whether the token is valid, It can prevent the use of expired invalid tokens to invoke network function services, which can improve the security of calling network function services.
  • the second network function module may perform identity authentication on the first network function module; S430 may be that when the identity authentication is successful, the network function module authorized by the request is the same as the first network function module.
  • the second network function module sends the first network function module to the first network function module Service response message for the first network function service.
  • the second network function module refuses to send the service response message of the first network function service to the first network function module.
  • the method for invoking a network function service provided by the embodiment of the present application, when the identity authentication of the first network function module is successful, the second network function module sends a service response message to the first network function module, which can improve the calling network. Functional service security.
  • the first network function module may also perform identity authentication on the second network function module, so as to further enhance communication security.
  • the method for identity authentication in the embodiment of the present application may include an encryption algorithm based on a symmetric key or an encryption algorithm based on asymmetric encryption, which is not limited in this embodiment of the present application.
  • the second network function module may perform the one or more manners provided above to determine whether to send the service response message to the first network function module, which is not limited in this embodiment of the present application.
  • the token in the embodiment of the present application can be reused within the validity period, and it is not necessary to obtain a token every time the network function service is requested, which can save signaling overhead.
  • the start time of the validity period may be the effective time of the token, and the end time of the validity period may be the expiration time of the token, which is not limited by the embodiment of the present application.
  • the token in the embodiment of the present application carries the sixth information, where the sixth information is used to indicate at least one network function service that is authorized, when the first network function module requests the at least one network function service.
  • the sixth information is used to indicate at least one network function service that is authorized, when the first network function module requests the at least one network function service.
  • the first network function module may further invoke the second network function service by using the token.
  • the first network function module may use the token to invoke the authorized at least one network function service multiple times.
  • FIG. 5 is a schematic flowchart of a method 500 for invoking a network function service provided by an embodiment of the present application, and the method 500 can be applied to, for example, a network architecture as shown in FIG. 1.
  • the first network function module sends a first request message to the authorization module, where the first request message is used to request to obtain a call permission of the first network function service provided by the second network function module, where the first request message carries the An information, a second information, and a third information, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first network The function service; correspondingly, the authorization module receives the first request message sent by the first network function module.
  • the first network function module can be, for example, the AMF module shown in FIG. 1
  • the second network function module can be, for example, the AUSF module shown in FIG. 1
  • the authorization module can be, for example, the one in FIG. 1 .
  • the NRF module shown in the present application does not limit this.
  • the AMF module may send the first request message to the NRF module, where the first request message is used to request to obtain a user authentication (NAUSF_UE Authentication) service provided by the AUSF module, where the first request message carries an ID of the AMF module, The ID of the AUSF module and the ID of the UE Authentication service.
  • NAUSF_UE Authentication a user authentication
  • the authorization module determines, according to the first information, the second information, and the third information, whether the first network function module has a right to invoke the first network function service.
  • the NRF module may determine whether the AMF has the right to invoke the UE Authentication service according to the ID of the AMF module, the ID of the AUSF module, and the ID of the UE Authentication service.
  • the authorization information may be, for example, an authorization table of the UE Authentication service.
  • the NRF module may obtain an authorization table as shown in FIG. 6 from multiple authorized tables stored locally according to the ID of the AUSF module and the ID of the UE Authentication service; the NRF module may be configured according to the authorization table.
  • the identifier of the at least one network function module includes the identifier of the AMF module, and the AMF module is determined to have the right to invoke the UE Authentication service.
  • the authorization table shown in FIG. 6 is only an optional representation of the authorization information, and the authorization information may also be a mapping table, a map, and the like, which can represent the authorization information. limited.
  • the authorization module sends a token to the first network function module, where the token carries the fourth information, the fifth information, and the sixth Information, the fourth information is used to indicate that the network function module that requests the network function service is the first network function module, and the fifth information is used to indicate that the network function module that provides the network function service is the second network function module, The sixth information is used to indicate at least one network function service provided by the second network function module that is invoked by the first network function module, and the at least one network function service includes the first network function service; The first network function module receives the token sent by the authorization module.
  • the first network function module sends a second request message to the second network function module, where the second request message is used to request to invoke the first network function service, and the second request message carries the first information, The second information, the third information, and the token; correspondingly, the second network function module receives the second request message sent by the first network function module.
  • the AMF module may send a second request message to the AUSF module, where the second request message is used to request the UE AUthentication service, and the second request message carries the ID of the AMF module, the ID of the AUSF module, and the UE AUthentication service. ID, and the token as shown in Figure 3.
  • the second network function module determines whether the network function module indicated by the fourth information is the same as the first network function module, whether the network function module indicated by the fifth information is the same as the second network function module, and the Whether the at least one network function service indicated by the six information includes the first network function service.
  • the second network function module may match the information in the second request message with the information in the token to obtain a matching result.
  • the network function module indicated by the fourth information when it is determined that the network function module indicated by the fourth information is the same as the first network function module, the network function module indicated by the fifth information is the same as the second network function module, and the sixth information indicates at least one
  • the second network function module sends a service response message of the first network function service to the first network function module; correspondingly, the first network function module receives the second The service response message sent by the network function module.
  • the identifier of the network function module of the AUSF module that invokes the network function service according to the request is the same as the ID of the AMF module, and the identifier of the network function module that provides the network function service is the same as the ID of the AUSF module.
  • the network function service list includes an ID of the UE Authentication service, and sends a service response message of the UE Authentication service to the first network function module.
  • the service response message of the UE Authentication service may include information related to the UE Authentication service request, or an ACK (ACKnowledgement) that is sent back when the UE Authentication service is performed, which is not limited in this embodiment of the present application.
  • FIG. 7 illustrates a method for invoking a network function service provided by an embodiment of the present application, and the method may be applied to, for example, a network architecture as shown in FIG. 1.
  • the first network function module sends a first request message to the second network function module, where the first request message is used to request to invoke a first network function service provided by the second network function module, where the first request message carries the first Information, a second information, and a third information, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first network function
  • the second network function module receives the first request message sent by the first network function module.
  • the first network function module can be, for example, the AMF module shown in FIG. 1
  • the second network function module can be, for example, the AUSF module shown in FIG. 1
  • the authorization module can be, for example, the one in FIG. 1 .
  • the NRF module shown in the present application does not limit this.
  • the AMF module may send the first request message to the AUSF module, where the first request message is used to request to obtain a user authentication (NAUSF_UE Authentication) service provided by the AUSF module, where the first request message carries an identifier of the AMF module (identification) , ID), the ID of the AUSF module and the ID of the UE Authentication service.
  • NAUSF_UE Authentication user authentication
  • the second network function module sends a second request message to the authorization module according to the first information, the second information, and the third information, where the second request message is used to request verification of the first network function module call.
  • the first network function service, and the second request message carries the first information, the second information, and the third information; correspondingly, the authorization module receives the second request sent by the second network function module Message.
  • the AUSF module may send a second request message to the NRF module according to the first request message, where the second request message is used to request to verify that the AMF module invokes the UE Authentication service, and the second request message carries The ID of the AMF module, the ID of the AUSF module, and the ID of the UE Authentication service.
  • the authorization module verifies, according to the first information, the second information, and the third information, whether the first network function module has the right to invoke the first network function service, to obtain a verification result, where the verification result includes the The first network function module has the right to invoke the first network function service or the first network function module does not have the right to invoke the first network function service.
  • the authorization module may indicate the verification result by using at least one bit, which is not limited by the embodiment of the present application.
  • the authorization module may indicate the verification result by 1 bit.
  • the 1st bit is 1 to indicate that the first network function module has the right to invoke the first network function service
  • the 1 bit is 0 means that the first network function module does not have the right to invoke the first network function service.
  • the NRF module may obtain the authorization table shown in FIG. 7 from multiple authorized tables stored locally according to the ID of the AUSF module and the ID of the UE Authentication service; the NRF module may be based on at least the authorization table.
  • the identifier of a network function module includes an identifier of the AMF module, and the AMF module is determined to have the right to invoke the UE Authentication service.
  • the authorization module sends the verification result to the second network function module.
  • the second network function module receives the verification result sent by the authorization module.
  • the NRF module sends a verification result to the AUSF module, the verification result being used to indicate that the AMF module has the right to invoke the UE Authentication service.
  • the second network function module when the verification result is that the first network function module has the right to invoke the first network function service, the second network function module sends a service response message of the first network function service to the first network function module; Correspondingly, the first network function module receives the service response message sent by the second network function module.
  • the AUSF module instructs the AMF module to have the right to invoke the UE Authentication service according to the verification result, and sends a service response message of the UE Authentication service to the AMF module.
  • the method for invoking the network function service provided by the embodiment of the present application is described in detail with reference to FIG. 1 to FIG. 7 .
  • the apparatus for invoking the network function service provided by the embodiment of the present application will be described below with reference to FIG. 8 to FIG.
  • FIG. 8 shows an apparatus 800 for invoking a network function service according to an embodiment of the present application.
  • the apparatus 800 includes:
  • the receiving unit 810 is configured to receive a first request message sent by the first network function module, where the first request message is used to request to obtain a call permission of the first network function service provided by the second network function module, where the first request message carries The first information, the second information, and the third information, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first Network function service.
  • the processing unit 820 is configured to determine, according to the first information, the second information, and the third information received by the receiving unit 810, whether the first network function module has a right to invoke the first network function service.
  • the sending unit 830 is configured to, when the processing unit 820 determines that the first network function module has the right to invoke the first network function service, send a token to the first network function module, where the token is used to indicate the first The network function module has the right to invoke the first network function service of the second network function module.
  • the token carries the fourth information, the fifth information, and the sixth information, where the fourth information is used to indicate that the network function module that requests the network function service is called the first network function module, where the fifth information is used.
  • the network function module indicating that the network function service is provided is the second network function module, where the sixth information is used to indicate at least one network function service provided by the second network function module that is authorized by the first network function module,
  • the at least one network function service includes the first network function service.
  • the first network function service is for the user equipment
  • the sending module is further configured to send a second request message to the user data management module, where the second request message is used to request the first corresponding to the user equipment.
  • An authorization policy of the network function service, and the second request message carries an identifier of the user equipment, where the authorization policy is used to indicate whether the first network function module is granted the right to invoke the first network function service corresponding to the user equipment;
  • the receiving unit is further configured to receive, according to the first information, the second information, the third information, Whether the first network function module has the right to invoke the first network function service.
  • the sending unit is further configured to send, to the second network function module, seventh information, where the seventh information includes an identifier of the at least one token that has been revoked.
  • the token further carries an identifier of the token
  • the receiving unit is further configured to receive a third request message sent by the second network function module, where the third request message carries the token;
  • the validity of the token is verified according to the identifier of the token to obtain a verification result;
  • the sending unit is further configured to send the verification result to the second network function module.
  • the apparatus 800 herein is embodied in the form of a functional unit.
  • the term "unit” as used herein may refer to an application specific integrated circuit (ASIC), an electronic circuit, a processor (eg, a shared processor, a proprietary processor, or a group) for executing one or more software or firmware programs. Processors, etc.) and memory, merge logic, and/or other suitable components that support the described functionality.
  • ASIC application specific integrated circuit
  • the device 800 may be specifically an authorization module in the foregoing method 200 to the method 600, and the device 800 may be used to execute the foregoing method 200 to the method 600 and the authorization module. Corresponding processes and/or steps are not repeated here to avoid repetition.
  • FIG. 9 shows an apparatus 900 for invoking a network function service according to an embodiment of the present application.
  • the apparatus 900 includes:
  • the sending unit 910 is configured to send, to the second network function module, a fourth request message, where the fourth request message is used to request to invoke the first network function service provided by the second network function module, and the fourth request message carries the first Information, the second information, the third information, and the token, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the first a network function service, the token is used to indicate that the first network function module has the right to invoke the first network function service of the second network function module;
  • the receiving unit 920 is configured to receive a service response message of the first network function service sent by the second network function module, where the service response message is sent according to the first information, the second information, and the first Three messages and the token sent.
  • the token carries a fourth information, a fifth information, and a sixth information, where the fourth information is used to indicate a network function module that requests to invoke a network function service, where the fifth information is used to indicate a network that provides network function services. And a function module, the sixth information is used to indicate at least one network function service provided by the second network function module that is invoked by the first network function module.
  • the sending unit is further configured to: before sending the fourth request message to the second network function module, send a first request message to the authorization module, where the first request message is used to request to acquire the call of the first network function service.
  • the first request message carries the first information, the second information, and the third information.
  • the receiving unit is further configured to receive the token sent by the authorization module, where the token is based on the first information, The second information and the third information are sent.
  • the apparatus 900 herein is embodied in the form of a functional unit.
  • the term "unit" as used herein may refer to an ASIC, an electronic circuit, a processor (eg, a shared processor, a proprietary processor or a group processor, etc.) and memory, a merge logic, and a processor for executing one or more software or firmware programs. / or other suitable components that support the described functionality.
  • the device 900 may be specifically the second network node in the foregoing method 200 to the method 600.
  • the device 900 may be used to perform the foregoing method 200 to method 600.
  • the various processes and/or steps corresponding to the first network function module are not repeated here to avoid repetition.
  • FIG. 10 shows an apparatus 1000 for invoking a network function service provided by an embodiment of the present application.
  • the apparatus 1000 includes:
  • the receiving unit 1010 is configured to receive a fourth request message sent by the first network function module, where the fourth request message is used to request to invoke the first network function service provided by the second network function module, and the fourth request message carries the first An information, a second information, a third information, and a token, the first information is used to indicate the first network function module, the second information is used to indicate the second network function module, and the third information is used to indicate the a first network function service, the token carrying a fourth information, a fifth information, and a sixth information, the fourth information being used to indicate a network function module requesting to invoke a network function service, where the fifth information is used to indicate that the network function service is provided
  • the network function module is configured to indicate at least one network function service provided by the second network function module, which is invoked by the first network function module.
  • the processing unit 1020 is configured to determine whether the network function module indicated by the fourth information received by the receiving unit 1010 is the same as the first network function module, and whether the network function module indicated by the fifth information is the same as the second network function module. And whether the at least one network function service indicated by the sixth information includes the first network function service;
  • the sending unit 1030 is configured to: when the processing unit 1020 determines that the network function module indicated by the fourth information is the same as the first network function module, the network function module indicated by the fifth information is the same as the second network function module, and the When the at least one network function service indicated by the sixth information includes the first network function service, the service response message of the first network function service is sent to the first network function module.
  • the token further carries an identifier of the token
  • the receiving unit is further configured to receive seventh information sent by the authorization module, where the seventh information includes an identifier of the at least one token that has been revoked; the processing unit And determining, by the identifier of the at least one token, whether the identifier of the token is included; the sending unit is specifically configured to: when determining that the identifier of the at least one token does not include the identifier of the token, the network indicated by the fourth information
  • the function module is the same as the first network function module, and the network function module indicated by the fifth information is the same as the second network function module, and the at least one network function service indicated by the sixth information includes the first network function service Sending a service response message of the first network function service to the first network function module.
  • the token further carries an identifier of the token
  • the sending unit is further configured to send a third request message to the authorization module, where the third request message is used to request verification of validity of the token, and the The third request message carries the token
  • the receiving unit is further configured to receive the verification result sent by the authorization module according to the identifier of the token, and the verification result is valid or invalid
  • the sending unit is specifically configured to: when determining that the verification result is valid
  • the network function module indicated by the fourth information is the same as the first network function module, the network function module indicated by the fifth information is the same as the second network function module, and the at least one network function service indicated by the sixth information is When the first network function service is included, the service response message of the first network function service is sent to the first network function module.
  • the apparatus 1000 herein is embodied in the form of a functional unit.
  • the term "unit” herein may refer to an ASIC, an electronic circuit, a processor (eg, a shared processor, a proprietary processor, or a group processor, etc.) and memory, a merge logic, and a processor for executing one or more software or firmware programs. / or other suitable components that support the described functionality.
  • the device 1000 may be specifically the second network function module in the foregoing method 200 to the method 600, and the device 1000 may be used to execute the foregoing method 200 to method 600.
  • the various processes and/or steps corresponding to the second network function module are not repeated here to avoid repetition.
  • FIG. 11 shows an apparatus 1100 for invoking a network function service, which may be the authorization module described in FIG. 2 to FIG. Architecture.
  • the authorization module can include a processor 1110, a transceiver 1120, and a memory 1130 that communicate with one another via internal connection paths.
  • the related functions implemented by the processing unit 820 in FIG. 8 may be implemented by the processor 1110, and the related functions implemented by the receiving unit 810 and the transmitting unit 830 may be implemented by the processor 1110 controlling the transceiver 1120.
  • the processor 1110 may include one or more processors, for example, including one or more central processing units (CPUs).
  • processors for example, including one or more central processing units (CPUs).
  • CPUs central processing units
  • the CPU may be a single core CPU, and It can be a multi-core CPU.
  • the transceiver 1120 is configured to transmit and receive data and/or signals, as well as to receive data and/or signals.
  • the transceiver can include a transmitter and a receiver for transmitting data and/or signals, and a receiver for receiving data and/or signals.
  • the memory 1130 includes, but is not limited to, a random access memory (RAM), a read-only memory (ROM), an erasable programmable read only memory (EPROM), and a read only memory.
  • RAM random access memory
  • ROM read-only memory
  • EPROM erasable programmable read only memory
  • CD-ROM compact disc read-only memory
  • the memory 1130 is used to store program code and data of the authorization module, and may be a separate device or integrated in the processor 1110.
  • the processor 1110 is configured to control the transceiver to communicate with the first network function module and/or the second network function module.
  • the processor 1110 is configured to control the transceiver to communicate with the first network function module and/or the second network function module.
  • Figure 11 only shows a simplified design of the authorization module.
  • the authorization module may also include other necessary components, including but not limited to any number of transceivers, processors, controllers, memories, etc., and all authorization modules that can implement the present application are protected by the present application. Within the scope.
  • the device 1100 can be a chip, for example, a communication chip that can be used in an authorization module for implementing related functions of the processor 1110 in the authorization module.
  • the chip can be a field programmable gate array for implementing related functions, a dedicated integrated chip, a system chip, a central processing unit, a network processor, a digital signal processing circuit, a microcontroller, and a programmable controller or other integrated chip.
  • the chip may include one or more memories for storing program code that, when executed, causes the processor to perform the corresponding functions.
  • FIG. 12 shows an apparatus 1200 for invoking a network function service provided by an embodiment of the present application.
  • the apparatus 1200 may be the first network function module described in FIG. 2 to FIG. 6, and the first network function module may adopt, for example, The hardware architecture shown in Figure 12.
  • the first network function module can include a processor 1210, a transceiver 1220, and a memory 1230, the processor 1210, the transceiver 1220, and the memory 1230 communicating with each other through an internal connection path.
  • the related functions implemented by the transmitting unit 910 and the receiving unit 920 in FIG. 9 can be implemented by the processor 1210 controlling the transceiver 1220.
  • the processor 1210 may include one or more processors, for example, including one or more CPUs.
  • the processor may be a single core CPU or a multi-core CPU.
  • the transceiver 1220 is configured to transmit and receive data and/or signals, as well as to receive data and/or signals.
  • the transceiver can include a transmitter and a receiver for transmitting data and/or signals, and a receiver for receiving data and/or signals.
  • the memory 1230 includes, but is not limited to, a RAM, a ROM, an EPROM, a CD-ROM, and the memory 1230 is for storing related instructions and data.
  • the memory 1230 is for storing program code and data of the first network function module, and may be a separate device or integrated in the processor 1210.
  • the processor 1210 is configured to control the transceiver to communicate with the authorization module and/or the second network function module.
  • the processor 1210 is configured to control the transceiver to communicate with the authorization module and/or the second network function module.
  • Figure 12 only shows a simplified design of the first network function module.
  • the first network function module may further include other necessary components, including but not limited to any number of transceivers, processors, controllers, memories, etc., and all of the first network function modules that can implement the present application. All are within the scope of this application.
  • the device 1200 can be a chip, for example, a communication chip that can be used in the first network function module for implementing related functions of the processor 1210 in the first network function module.
  • the chip can be a field programmable gate array for implementing related functions, a dedicated integrated chip, a system chip, a central processing unit, a network processor, a digital signal processing circuit, a microcontroller, and a programmable controller or other integrated chip.
  • the chip may include one or more memories for storing program code that, when executed, causes the processor to perform the corresponding functions.
  • FIG. 13 shows an apparatus 1300 for invoking a network function service provided by an embodiment of the present application.
  • the apparatus 1300 may be the second network function module described in FIG. 2 to FIG. 6, and the second network function module may adopt, for example, The hardware architecture shown in Figure 13.
  • the second network function module can include a processor 1310, a transceiver 1320, and a memory 1330, the processor 1310, the transceiver 1320, and the memory 1330 communicating with each other through an internal connection path.
  • the related functions implemented by the processing unit 1020 in FIG. 10 may be implemented by the processor 1310, and the related functions implemented by the receiving unit 1010 and the transmitting unit 1030 may be implemented by the processor 1310 controlling the transceiver 1320.
  • the processor 1310 may include one or more processors, for example, including one or more CPUs.
  • the processor may be a single core CPU or a multi-core CPU.
  • the transceiver 1320 is configured to transmit and receive data and/or signals, as well as to receive data and/or signals.
  • the transceiver can include a transmitter and a receiver for transmitting data and/or signals, and a receiver for receiving data and/or signals.
  • the memory 1330 includes, but is not limited to, a RAM, a ROM, an EPROM, a CD-ROM, and the memory 1330 is for storing related instructions and data.
  • the memory 1330 is configured to store program code and data of the second network function module, and may be a separate device or integrated in the processor 1310.
  • the processor 1310 is configured to control the transceiver to communicate with the authorization module and/or the first network function module.
  • the processor 1310 is configured to control the transceiver to communicate with the authorization module and/or the first network function module.
  • Figure 13 only shows a simplified design of the second network function module.
  • the second network function module may further include other necessary components, including but not limited to any number of transceivers, processors, controllers, memories, etc., and all of the second network function modules that can implement the present application. All are within the scope of this application.
  • the device 1300 can be a chip, for example, a communication chip that can be used in a second network function module for implementing related functions of the processor 1310 in the second network function module.
  • the chip can be a field programmable gate array for implementing related functions, a dedicated integrated chip, a system chip, a central processing unit, a network processor, a digital signal processing circuit, a microcontroller, and a programmable controller or other integrated chip.
  • the chip may include one or more memories for storing program code that, when executed, causes the processor to perform the corresponding functions.
  • FIG. 14 is a schematic block diagram of a system 1400 for invoking a network function service provided by an embodiment of the present application.
  • the system 1400 includes a first network function module 1410, an authorization module 1420, and a second network function module 1430.
  • the first network function module 1410 can implement the functions implemented by the first network function module in the foregoing method embodiments 200 to 600
  • the authorization module 1420 can implement, for example, the authorization module in the foregoing method embodiments 200 to 600
  • the second network function module 1430 can implement the functions implemented by the second network function module in the foregoing method embodiments 200 to 600. To avoid repetition, details are not described herein again.
  • the first network function module 1410 can implement the functions implemented by the first network function module in the foregoing method embodiment 700
  • the authorization module 1420 can implement, for example, the functions implemented by the authorization module in the foregoing method embodiment 700.
  • the second network function module 1430 can implement the functions implemented by the second network function module in the foregoing method embodiment 700. To avoid repetition, details are not described herein again.
  • first network function module, the second network function module, and the authorization module in the embodiment of the present application all have specific functions and network interfaces, and may be different network elements on the same dedicated hardware, or may be the same dedicated
  • the different software instances running on the hardware may also be different virtual function instances on the same related platform (such as the cloud infrastructure), which is not limited in this embodiment.
  • the computer program product includes one or more computer instructions.
  • the computer can be a general purpose computer, a special purpose computer, a computer network, or other programmable device.
  • the computer instructions can be stored in or transmitted by a computer readable storage medium.
  • the computer instructions may be from a website site, computer, server or data center via a wired (eg, coaxial cable, fiber optic, digital subscriber line (DSL)) or wireless (eg, infrared, wireless, microwave, etc.) Another website site, computer, server, or data center for transmission.
  • the computer readable storage medium can be any available media that can be accessed by a computer or a data storage device such as a server, data center, or the like that includes one or more available media.
  • the usable medium may be a magnetic medium (for example, a floppy disk, a hard disk, a magnetic tape), an optical medium (for example, a digital versatile disc (DVD)), or a semiconductor medium (for example, an SSD).
  • the program can be stored in a computer readable storage medium, when the program is executed
  • the flow of the method embodiments as described above may be included.
  • the foregoing storage medium includes various media that can store program codes, such as a ROM or a RAM, a magnetic disk, or an optical disk.
  • the disclosed systems, devices, and methods may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another system, or some features can be ignored or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the units described as separate components may or may not be physically separated, and the components displayed as units may or may not be physical units, that is, may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the functions may be stored in a computer readable storage medium if implemented in the form of a software functional unit and sold or used as a standalone product.
  • the technical solution of the present application which is essential or contributes to the prior art, or a part of the technical solution, may be embodied in the form of a software product, which is stored in a storage medium, including
  • the instructions are used to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present application.
  • the foregoing storage medium includes various media that can store program codes, such as a USB flash drive, a mobile hard disk, a ROM, a RAM, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer And Data Communications (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本申请提供一种用于调用网络功能服务的方法、装置和系统，该方法包括：授权模块接收第一网络功能模块发送的第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息；该授权模块根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限；当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌。本申请提供的用于调用网络功能服务的方法、装置和系统，能够提高调用网络功能服务的安全性。

Description

用于调用网络功能服务的方法、装置和系统
本申请要求于2017年09月28日提交中国专利局、申请号为201710897850.X、申请名称为“用于调用网络功能服务的方法、装置和系统”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及通信领域，更具体地，涉及通信领域中用于调用网络功能服务的方法、装置和系统。
背景技术
随着通信系统的不断发展，基于服务的网络架构(service based architecture，SBA)得到的广泛的应用，在基于服务的网络架构中，根据能够提供的特定网络功能的网络实体称为网络功能(network function，NF)模块，网络功能可以以服务的方式提供。
在基于服务的网络架构中，任意两个网络功能模块可以通过服务化接口以网络功能服务调用的方式交互。由于所有服务化接口的协议栈是统一的，即一个具备服务化接口的网络功能模块提供的网络功能服务可以被任意一个其它网络功能模块调用，这样以来，就存在网络功能服务滥用的威胁，安全性能较差。
因此，需要提供一种方案解决在基于服务的网络架构下调用网络功能服务时，安全性能较差的问题。
发明内容
本申请提供一种用于调用网络功能服务的方法、装置和系统，能够提高调用网络功能服务的安全性。
第一方面，本申请提供了一种用于调用网络功能服务的方法，该方法包括：
授权模块接收第一网络功能模块发送的第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；
该授权模块根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限；
当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌，该令牌用于指示该第一网络功能模块具有调用该第二网络功能模块的该第一网络功能服务的权限。
应理解，本申请实施例中的网络功能模块具有特定功能和网络接口，可以是专用硬件上的网元，也可以是专用硬件上运行的软件实例，还可以是相关平台(如云基础设施上) 上的虚拟功能实例，本申请实施例对此不作限定。
本申请实施例提供的用于调用网络功能服务的方法，当该授权模块确定第一网络功能模块具有调用第二网络功能模块提供的第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌，该令牌用于指示该第一网络功能模块具有调用该第二网络功能服务的权限，以使得该第一网络功能模块使用该令牌调用该第二网络功能模块提供的该第一网络功能服务，能够提高调用网络功能服务的安全性。
可选地，在该当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌之前，该方法还包括：该授权模块生成该令牌。
应理解，该第一网络功能模块可以提供至少一种网络功能服务，该第二网络功能模块可以提供至少一种网络功能服务，且该第一网络功能模块提供的至少一种网络功能服务与该第二网络功能模块提供的至少一种网络功能服务不同。
可选地，该第一信息可以包括该第一网络功能模块的类型和/或标识，该第二信息可以包括该第二网络功能模块的类型和/或标识，该第三信息可以包括该第一网络功能服务的标识，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的类型可以包括访问与移动性管理功能、会话管理功能、网络功能数据库功能、网络开放功能、应用功能等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的标识可以包括名称、标识、编号、域名、网络接入标识、网络协议地址等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能服务的标识可以包括该网络功能服务的名称、标识、编号等，本申请实施例对此不作限定。
作为一个可选实施例，该授权模块可以根据该第一网络功能模块的类型、该第二网络功能模块的类型、该第一网络功能服务的标识和预配置的第一授权信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。其中，该第一授权信息用于指示允许调用该第一网络功能服务的网络功能模块的至少一种类型。
可选地，该第一授权信息可以包括允许调用该第一网络功能服务的网络功能模块的至少一种类型。
作为另一个可选实施例，该授权模块可以根据该第一网络功能模块的标识、该第二网络功能的标识、该第一网络功能服务的标识和预配置的第二授权信息，确定是否授予该第一网络功能服务的调用权限。其中，该第二授权信息用于指示允许调用该第一网络功能服务的至少一个网络功能模块。
可选地，该第二授权信息可以包括允许调用该第一网络功能服务的至少一个网络功能模块中每个网络功能模块的标识。
作为又一个可选实施例，该授权模块可以根据该第一网络功能模块的类型、该第一网络功能模块的标识，该第二网络功能模块的类型、该第二网络功能模块的标识和预配置的第三授权信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。其中，该第三授权信息用于指示允许调用该第一网络功能服务的网络功能模块的至少一种类型，以及该至少一种类型中每种类型对应的至少一个网络功能模块。
可选地，该第三授权信息可以包括允许调用该第一网络功能服务的网络功能模块的至 少一种类型，以及与每种类型对应的至少一个网络功能模块中每个网络功能模块的标识。
可选地，该第一请求消息还可以携带该第一网络功能模块所属的网络切片的标识、为该第一网络功能模块提供服务的运营商的标识、该第一网络功能模块的服务请求参数中的至少一项，本申请实施例对此不作限定。
应理解，网络切片可以理解为能够提供特定网络能力和网络特性的逻辑网络，一个网络切片中可以包括多个网络功能模块。
可选地，本申请实施例中的网络切片的标识可以为该网络切片的名称、域名、标识、编号等；网络该运营商的标识可以为公共陆地移动网络标识、名称、编号等，本申请实施例对此不做限定。
在一种可能的实现方式中，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块为该第一网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块为该第二网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务，该至少一种网络功能服务包括该第一网络功能服务。
可选地，该第四信息可以包括请求调用网络功能服务的网络功能模块的类型和/或标识，该第五信息可以包括提供网络功能服务的网络功能模块的类型和/或标识，该第六信息可以包括该至少一种网络功能服务中每种网络功能服务的标识，本申请实施例对此不作限定。
可选地，该令牌还可以携带该令牌的标识、消息验证码(数字签名)和该消息验证码(数字签名)的算法。
可选地，该令牌还可以携带该令牌的生效时间和失效时间中的至少一项或有效期。其中，当该令牌携带生效时间或失效时间时，该令牌还可以携带有效时长。
可选地，该令牌还可以携带运营商的标识或颁发所述令牌的授权模块的标识，本申请实施例对此不作限定。
应理解，该第一网络功能模块调用第一网络功能服务为不同用户设备提供服务时，可能具有不同的权限，由于授权模块中并未存储与用户设备相关的授权策略，因此，本申请实施例提供的网络架构中还可以包括用户数据管理模块，该授权模块可以向该用户数据管理模块请求该用户设备对应的该第一网络功能服务的授权策略。
在一种可能的实现方式中，该第一网络功能服务是为用户设备服务的，该方法还包括：
该授权模块向用户数据管理模块发送第二请求消息，该第二请求消息用于请求该用户设备对应的该第一网络功能服务的授权策略，且该第二请求消息携带该用户设备的标识，该授权策略用于指示是否授予该第一网络功能模块调用该用户设备对应的该第一网络功能服务的权限；
该授权模块接收该用户数据管理模块根据该用户设备的标识发送的授权策略；
该授权模块根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限，包括：
该授权模块根据该第一信息、该第二信息、该第三信息和该授权策略，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
可选地，该用户数据管理模块中可以预先配置网络中至少一个用户设备中每个用户设 备对应的至少一种网络功能服务的授权策略或授权规则，本申请实施例对此不作限定。
在一种可能的实现方式中，该方法还包括：该授权模块向该第二网络功能模块发送第七信息，所述第七信息包括已被撤销的至少一个令牌的标识。
本申请实施例提供的用于调用网络功能服务的方法，授权模块将已被撤销的至少一个令牌指示给第二网络功能模块，以使得第二网络功能模块能够自己确认令牌的有效性，而无需每次将令牌发送给授权模块确认，从而能够减少信令的开销。
在一种可能的实现方式中，该方法还包括：该令牌还携带该令牌的标识，该方法还包括：
该授权模块接收该第二网络功能模块发送的第三请求消息，该第三请求消息携带该令牌；
该授权模块根据该令牌的标识，对该令牌的有效性进行验证，以得到验证结果；
该授权模块向该第二网络功能模块发送该验证结果。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块将待验证的令牌发送给授权模块，并请求授权模块验证该令牌的有效性，能够降低第二网络功能模块认证令牌的复杂度。
第二方面，本申请提供一种用于调用网络功能服务的方法，该方法包括：
第一网络功能模块向第二网络功能模块发送第四请求消息，该第四请求消息用于请求调用该第二网络功能模块提供的第一网络功能服务，且该第四请求消息携带第一信息、第二信息、第三信息和令牌，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务，该令牌用于指示该第一网络功能模块具有调用该第二网络功能模块的该第一网络功能服务的权限；
该第一网络功能模块接收该第二网络功能模块发送的该第一网络功能服务的服务响应消息，该服务响应消息是根据该第一信息、该第二信息、该第三信息和该令牌发送的。
应理解，本申请实施例中的网络功能模块具有特定功能和网络接口，可以是专用硬件上的网元，也可以是专用硬件上运行的软件实例，还可以是相关平台(如云基础设施上)上的虚拟功能实例，本申请实施例对此不作限定。
在一种可能的实现方式中，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务。
在一种可能的实现方式中，在该第一网络功能模块向第二网络功能模块发送第四请求消息之前，该方法还包括：
该第一网络功能模块向授权模块发送第一请求消息，该第一请求消息用于请求获取该第一网络功能服务的调用权限，该第一请求消息携带该第一信息、该第二信息和该第三信息；
该第一网络功能模块接收该授权模块发送的该令牌，该令牌是根据该第一信息、该第二信息和该第三信息发送的。
应理解，本申请实施例中的令牌在有效期内可以重复使用，无需每次请求网络功能服务需要获取令牌，能够节省信令的开销。其中，该有效期的起始时间可以为该令牌的生效 时间，该有效期的结束时间可以为该令牌的失效时间，本申请实施例对此不作限定。
还应理解，本申请实施例中的令牌携带第六信息，该第六信息用于指示被授权的至少一种网络功能服务，当该第一网络功能模块请求该至少一个网络功能服务中任一网络功能服务时，无需再次向该授权模块请求令牌，能够进一步节省信令的开销。
例如，该第六信息指示的至少一个网络功能服务包括该第二网络功能模块提供的第二网络功能服务时，该第一网络功能模块还可以使用该令牌调用该第二网络功能服务。
又例如，在有效期内，该第一网络功能模块可以多次使用该令牌调用该被授权的至少一个网络功能服务。
第三方面，本申请提供一种用于调用网络功能服务的方法，该方法包括：
第二网络功能模块接收第一网络功能模块发送的第四请求消息，该第四请求消息用于请求调用该第二网络功能模块提供的第一网络功能服务，且该第四请求消息携带第一信息、第二信息、第三信息和令牌，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块、该第三信息用于指示该第一网络功能服务，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务；
该第二网络功能模块确定该第四信息指示的网络功能模块与该第一网络功能模块是否相同，该第五信息指示的网络功能模块与该第二网络功能模块是否相同，以及该第六信息指示的该至少一种网络功能服务是否包括该第一网络功能服务；
当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块对该第一网络功能模块发送的第四请求消息中的信息与令牌中的信息进行匹配，当匹配成功时，向该第一网络功能模块发送服务响应消息，能够提高调用网络功能服务的安全性。
具体地，该第二网络功能模块可以对该第四请求消息中的信息与该令牌中的信息进行匹配，即对该第四请求消息中的该第一信息和该令牌中的该第四信息进行匹配，对该第四请求消息中的该第二信息和该令牌中该第五信息进行匹配，对该第四请求消息中的第三信息和该令牌中的第六信息进行匹配，得到匹配结果。
可选地，该第一信息可以包括该第一网络功能模块的类型和/或标识，该第二信息可以包括该第二网络功能模块的类型和/或标识，该第三信息可以包括该第一网络功能服务的标识，本申请实施例对此不作限定。
可选地，该第四信息可以包括请求调用网络功能服务的网络功能模块的类型和/或标识，该第五信息可以包括提供网络功能服务的网络功能模块的类型和/或标识，该第六信息可以包括该至少一种网络功能服务中每种网络功能服务的标识，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的类型可以包括访问与移动性管理功能、会话管理功能、网络功能数据库功能、网络开放功能、应用功能等，本申请实施例对此不作 限定。
可选地，本申请实施例中的网络功能模块的标识可以包括名称、标识、编号、域名、网络接入标识、网络协议地址等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能服务的标识可以包括该网络功能服务的名称、ID、编号等，本申请实施例对此不作限定。
在一种可能的实现方式中，该令牌还携带该令牌的标识，该方法还包括：
该第二网络功能模块向该授权模块发送该第三请求消息，该第三请求消息携带该令牌；该授权模块可以根据该令牌的标识和本地存储的已被撤销的至少一个令牌的标识，验证该令牌的有效性，以得到第一验证结果，并向该第二网络功能模块发送该第一验证结果；
该当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息，包括：当确定该第一验证结果为有效，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
在一种可能的实现方式中，该令牌还携带该令牌的标识，该方法还包括：
该第二网络功能模块接收该授权模块发送的第七信息，该第七信息包括已被撤销的至少一个令牌的标识；
确定该至少一个令牌的标识中是否包括该令牌的标识；
该当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息，包括：当确定该至少一个令牌的标识不包括该令牌的标识，该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该授权模块可以周期性向该第二网络功能模块发送该第七信息，或者该授权模块可以根据该第二网络模块的请求向该第二网络功能模块发送该第七信息，本申请实施例对此不作限定。
本申请实施例提供的用于调用网络功能服务的方法，授权模块或第二网络功能模块根据已被撤销的至少一个令牌的标识中是否包括用于调用该第一网络功能服务时使用的令牌的标识，确认该令牌是否已被撤销，能够防止使用已被撤销的无效令牌调用网络功能服务，从能够提高调用网络功能服务的安全性。
此外，授权模块将已被撤销的至少一个令牌指示给第二网络功能模块，以使得第二网络功能模块能够自己确认令牌的有效性，而无需每次将令牌发送给授权模块确认，从而能够减少信令的开销。
可选地，该令牌还可以携带消息验证码和数字签名中的至少一项。
在一种可能的实现方式中，该方法还包括：
该第二网络功能模块验证该消息验证码和/或该数字签名，得到第二验证结果，该第二验证结果可以为成功或失败；
该当确定该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息，包括：当确定该第二验证结果为成功，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该令牌还携带该令牌的生效时间和失效时间中的至少一项或有效期。其中，当该令牌携带生效时间或失效时间时，该令牌还可以携带有效时长。
比如该令牌的有效期可以表示为生效时间和失效时间，或者生效时间+有效时长。
作为一个可选实施例，该第二网络功能模块可以根据该令牌的生效时间和失效时间中的至少一项或有效期，验证该令牌的有效期，以得到第三验证结果，该第三验证结果可以为有效或无效。当确定该第三验证结果为有效，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块根据令牌中的该令牌的生效时间和失效时间中的至少一项或有效期，验证该令牌的是否有效，能够防止使用过期的无效令牌调用网络功能服务，从能够提高调用网络功能服务的安全性。
第四方面，本申请提供一种用于调用网络功能服务的系统，该系统包括：第一网络功能模块、第二网络功能模块和授权模块；
该第一网络功能模块用于向该授权模块发送第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；
该授权模块用于接收该第一网络功能模块发送的该第一请求消息；根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限；当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，向该第一网络功能模块发送令牌，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块为该第一网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块为该第二网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务，该至少一种网络功能服务包括该第一网络功能服务；
该第一网络功能模块还用于接收该授权模块发送的该令牌；向该第二网络功能模块发送第四请求消息，该第四请求消息用于请求调用该第一网络功能服务，且该第四请求消息携带该第一信息、该第二信息、该第三信息和该令牌；
该第二网络功能模块用于接收该第一网络功能模块发送的该第四请求消息；确定该第四信息指示的网络功能模块与该第一网络功能模块是否相同，该第五信息指示的网络功能模块与该第二网络功能模块是否相同，以及该第六信息指示的该至少一种网络功能服务是否包括该第一网络功能服务；当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息；
该第一网络功能模块还用于接收该第二网络功能模块发送的该服务响应消息。
在一种可能的实现方式中，该第一网络功能服务是为用户设备服务的，该系统还包括用户数据管理模块，
该授权模块还用于向用户数据管理模块发送第二请求消息，该第二请求消息用于请求该用户设备对应的该第一网络功能服务的授权策略，且该第二请求消息携带该用户设备的标识，该授权策略用于指示是否授予该第一网络功能模块调用该用户设备对应的该第一网络功能服务的权限；
该用户数据管理模块用于接收该授权模块发送的该第二请求消息；根据该用户设备的标识，确定该用户设备对应的该第一网络功能服务的授权策略；向该授权模块发送该授权策略；
该授权模块具体用于接收该用户数据管理模块根据该用户设备的标识发送的授权策略；根据该第一信息、该第二信息、该第三信息和该授权策略，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
在一种可能的实现方式中，该令牌还携带该令牌的标识，
该授权模块还用于向该第二网络功能模块发送第七信息，该第七信息包括已被撤销的至少一个令牌的标识；
该第二网络功能模块具体用于接收该授权模块发送的第七信息；确定该至少一个令牌中是否包括该令牌；当确定该至少一个令牌不包括该令牌，该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
在一种可能的实现方式中，该令牌还携带该令牌的标识，该第二网络功能模块还用于向该授权模块发送第三请求消息，该第三请求消息用于请求验证该令牌的有效性，且该第三请求消息携带该令牌；
该授权模块还用于接收该第二网络功能模块发送的该第三请求消息，根据该令牌的标识，验证该令牌的有效性，以得到验证结果；向该第二网络功能模块发送该验证结果；
该第二网络功能模块具体用于当确定该验证结果为有效，该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
第五方面，本申请提供一种用于调用网络功能服务的系统，该系统包括：第一网络功能模块、第二网络功能模块和授权模块；
该第一网络功能模块用于向第二网络功能模块发送第一请求消息，该第一请求消息用于请求调用第二网络功能模块提供的第一网络功能服务，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；
该第二网络功能模块用于接收该第一网络功能模块发送的该第一请求消息，根据该第一信息、该第二信息和该第三信息，向该授权模块发送第二请求消息，该第二请求消息用于请求验证该第一网络功能模块调用该第一网络功能服务的权限，且该第二请求消息携带该第一信息、该第二信息和该第三信息；
该授权模块用于接收该第二网络功能模块发送的该第二请求消息，根据该第一信息、该第二信息和该第三信息，验证该第一网络功能模块是否具有调用该第一网络功能服务的权限，以得到验证结果，该验证结果包括该第一网络功能模块具有调用该第一网络功能服务的权限或该第一网络功能模块不具有调用该第一网络功能服务的权限；向该第二网络功能模块发送该验证结果；
该第二网络功能模块还用于接收该第二网络功能模块发送的该验证结果；当该验证结果为该第一网络功能模块具有调用该第一网络功能服务的权限时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息；
该第一网络功能模块还用于接收该第二网络功能模块发送的该服务响应消息。
第六方面，本申请提供了一种用于调用网络功能服务的装置，用于执行上述第一方面或第一方面的任意可能的实现方式中的方法。
第七方面，本申请提供了一种用于调用网络功能服务的装置，用于执行上述第二方面或第二方面的任意可能的实现方式中的方法。
第八方面，本申请提供了一种用于调用网络功能服务的装置，用于执行上述第三方面或第三方面的任意可能的实现方式中的方法。
第九方面，本申请提供了一种用于调用网络功能服务的装置，该装置包括：存储器、处理器、收发器及存储在该存储器上并可在该处理器上运行的计算机程序，其特征在于，该处理器执行该计算机程序时执行上述第一方面或第一方面的任意可能的实现方式中的方法。
第十方面，本申请提供了一种用于调用网络功能服务的装置，该装置包括：存储器、处理器、收发器及存储在该存储器上并可在该处理器上运行的计算机程序，其特征在于，该处理器执行该计算机程序时执行上述第二方面或第二方面的任意可能的实现方式中的方法。
第十一方面，本申请提供了一种用于调用网络功能服务的装置，该装置包括：存储器、处理器、收发器及存储在该存储器上并可在该处理器上运行的计算机程序，其特征在于，该处理器执行该计算机程序时执行上述第三方面或第三方面的任意可能的实现方式中的方法。
第十二方面，本申请提供了一种计算机可读介质，用于存储计算机程序，该计算机程序包括用于执行第一方面或第一方面的任意可能的实现方式中的方法的指令。
第十三方面，本申请提供了一种计算机可读介质，用于存储计算机程序，该计算机程序包括用于执行第二方面或第二方面的任意可能的实现方式中的方法的指令。
第十四方面，本申请提供了一种计算机可读介质，用于存储计算机程序，该计算机程序包括用于执行第三方面或第三方面的任意可能的实现方式中的方法的指令。
第十五方面，本申请提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面或第一方面的任意可能的实现方式中的方法。
第十六方面，本申请提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第二方面或第二方面的任意可能的实现方式中的方法。
第十七方面，本申请提供了一种包含指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第三方面或第三方面的任意可能的实现方式中的方法。
第十八方面，本申请提供了一种芯片，包括：输入接口、输出接口、至少一个处理器、存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过总线相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述第一方面或第一方面的任意可能的实现方式中的方法。
第十九方面，本申请提供了一种芯片，包括：输入接口、输出接口、至少一个处理器、存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过总线相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述第二方面或第二方面的任意可能的实现方式中的方法。
第二十方面，本申请提供了一种芯片，包括：输入接口、输出接口、至少一个处理器、存储器，所述输入接口、输出接口、所述处理器以及所述存储器之间通过总线相连，所述处理器用于执行所述存储器中的代码，当所述代码被执行时，所述处理器用于执行上述第三方面或第三方面的任意可能的实现方式中的方法。
附图说明
图1是本申请实施例的基于服务的网络架构的示意性框图；
图2是本申请实施例的用于调用网络功能服务的方法的示意性流程图；
图3是本申请实施例的令牌的格式示意图；
图4是本申请实施例的另一用于调用网络功能服务的方法的示意性流程图；
图5是本申请实施例的又一用于调用网络功能服务的方法的示意性流程图；
图6是本申请实施例的授权表的格式示意图；
图7是本申请实施例的又一用于调用网络功能服务的方法的示意性流程图；
图8是本申请实施例的用于调用网络功能服务的装置的示意性框图；
图9是本申请实施例的另一用于调用网络功能服务的装置的示意性框图；
图10是本申请实施例的又一用于调用网络功能服务的装置的示意性框图；
图11是本申请实施例的又一用于调用网络功能服务的装置的示意性框图；
图12是本申请实施例的又一用于调用网络功能服务的装置的示意性框图；
图13是本申请实施例的又一用于调用网络功能服务的装置的示意性框图；
图14是本申请实施例的用于调用网络功能服务的系统的示意性框图。
具体实施方式
下面将结合附图，对本申请中的技术方案进行描述。
图1示出了本申请实施例提供的基于服务的网络架构的示意性框图。该网络架构以服务为基础，得到多种不同类型的网络功能模块，网络功能模块之间通过服务化接口以网络功能服务调用的方式进行交互。
应理解，本申请实施例中的网络功能模块具有特定功能和网络接口，可以是专用硬件上的网元，也可以是专用硬件上运行的软件实例，还可以是相关平台(如云基础设施上)上的虚拟功能实例，本申请实施例对此不作限定。
下面将结合图1对该基于服务的网络架构中的各个模块进行介绍：
无线接入网络(radio access network，RAN)模块102：负责用户设备(user equipment，UE)101的接入。可以理解的是，在实际表述过程中，RAN也可以简写为AN。
可选地，本申请实施例中的UE可以是移动的或固定的，该UE可以指接入终端、终端设备、移动终端、用户单元、用户站、移动站、移动台、远方站、远程终端、移动设备、用户终端、终端、无线通信设备、用户代理或用户装置等。接入终端可以是蜂窝电话、无绳电话、会话启动协议(session initiation protocol，SIP)电话、无线本地环路(wireless local loop，WLL)站、个人数字处理(personal digital assistant，PDA)、具有无线通信功能的手持设备、计算设备或连接到无线调制解调器的其它处理设备、车载设备、可穿戴设备、未来的第五代(5th generation，5G)系统或新无线(new radio，NR)系统中的用户设备。
访问与移动性管理功能(access and mobility management function，AMF)模块103：负责与现有的移动管理实体(mobile management entity，MME)中的移动性管理类似的功能，用于控制UE对网络资源的访问和对UE的移动进行管理。AMF模块103与RAN模块102互相通信，以对接入网控制面进行处理，其中，N2不是服务化接口。
鉴权服务功能(authentication server function，AUSF)模块104：负责密钥的生成，以及与UE 101之间的双向鉴权。
会话管理功能(session management function，SMF)模块105：负责管理UE的会话，包括会话的建立、修改和释放。
网络开放功能(network exposure function，NEF)模块106：负责将核心网内的网络功能服务安全地提供给外部网络实体服务，以及内外网信息转换等。
网络功能数据库功能(NF repository function，NRF)模块107：负责服务发现等功能。
策略管控功能(policy control function，PCF)模块108：负责管理网络行为的统一策略框架；提供策略规则给控制平面执行等功能。
统一数据管理(unified data management，UDM)模块109：包括前端(front end，FE)和用户数据库(user data repository，UDR)。其中，FE负责信用评级处理、位置管理、订阅管理等功能，并可以访问存储在UDR中的用户订阅数据，UDR是一个用户订阅数据存储服务器，负责向前端提供用户订阅数据。
应用功能(application function，AF)模块110：提供应用服务。
如图1中所示，AMF模块103具有服务化接口NAMF、SMF模块105具有服务化接口NSMF、AUSF模块104具有服务化接口NAUSF、NEF模块106具有服务化接口NNEF、NRF模块107具有服务化接口NNRF、PCF模块108具有服务化接口NPCF、UDM模块109具有服务化接口NUDM、AF模块110具有服务化接口NAF。
应理解，本申请实施例中的各个网络功能模块的服务化接口的还可以为其它名称，本 申请实施例对此不作限定。
在基于服务的网络架构中，各个网络功能模块之间通过服务化接口调用网络功能服务，由于全网的服务化接口支持统一的通信协议，这就意味着，一个具备服务化接口的网络功能模块能够被任意一个具有服务化接口的其他网络功能模块访问，即一个具备服务化接口的网络功能模块提供的网络功能服务能够被任意一个具有服务化接口的其它网络功能模块调用。这样以来，在基于服务的网络架构中可能会产生网络功能服务滥用的问题，安全性能较差。
例如，传统的网络架构中，AF与UDM之间无通信接口，即AF不能直接访问UDM，但是在基于服务的网络架构中，AF具备调用UDM中的网络功能服务的能力，由于UDM中存储有与用户相关的敏感信息，AF能够通过服务化接口任意调用UDM中的网络功能服务，有可能导致用户信息的泄露。
本申请实施例提供的用于调用网络功能服务的方法，能够提高调用网络功能服务的安全性。
图2示出了本申请实施例提供的用于调用网络功能服务的方法200的示意性流程图，该方法200可以应用于如图1中所示的网络架构。
S210，第一网络功能模块向授权模块发送第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；相应地，该授权模块接收该第一网络功能模块发送的该第一请求消息。
应理解，该第一网络功能模块可以提供至少一种网络功能服务，该第二网络功能模块可以提供至少一种网络功能服务，且该第一网络功能模块和该第二网络功能模块提供的网络功能服务不同。
可选地，该授权模块例如可以为图1中所示的NRF模块，该第一网络功能模块和该第二网络功能模块可以为图1中所示的除NRF模块、RAN和UE以外的任意两个网络功能模块。例如，该第一网络功能模块可以为图1中NEF模块，该第二网络功能模块可以为图1中的AF模块，本申请实施例对此不作限定。
可选地，该第一信息可以包括该第一网络功能模块的类型和/或标识，该第二信息可以包括该第二网络功能模块的类型和/或标识，该第三信息可以包括该第一网络功能服务的标识，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的类型可以包括AMF、SMF、NRF、NEF、AF等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的标识可以包括名称、ID(identification)、编号、域名、网络接入标识(network access identifier，NAI)、网络协议(internet protocol，IP)地址等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能服务的标识可以包括该网络功能服务的名称、ID、编号等，本申请实施例对此不作限定。
S220，该授权模块根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
作为一个可选实施例，当该第一信息包括该第一网络功能模块的类型，该第二信息包括该第一网络功能模块的类型，该第三信息包括该第一网络功能服务的标识时，该授权模块可以根据该第一网络功能模块的类型、该第二网络功能模块的类型、该第一网络功能服务的标识和预配置的第一授权信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。其中，该第一授权信息用于指示允许调用该第一网络功能服务的网络功能模块的至少一种类型。
具体地，该授权模块可以根据该第二网络功能模块的类型和该第一网络功能服务的标识，获取该第一授权信息；当该第一授权信息指示的至少一种类型包括该第一网络功能模块的类型时，该授权模块确定该第一网络功能模块具有调用该第一网络功能服务的权限；或者当该第一授权信息指示的至少一种类型不包括该第一网络功能模块的类型时，该授权模块确定该第一网络功能模块没有调用该第一网络功能服务的权限。
可选地，该第一授权信息可以包括允许调用该第一网络功能服务的网络功能模块的至少一种类型。
作为另一个可选实施例，该第一信息包括该第一网络功能模块的标识、该第二信息包括该第二网络功能模块的标识，该第三网络功能模块的标识时，该授权模块可以根据该第一网络功能模块的标识、该第二网络功能的标识、该第一网络功能服务的标识和预配置的第二授权信息，确定是否授予该第一网络功能服务的调用权限。其中，该第二授权信息用于指示允许调用该第一网络功能服务的至少一个网络功能模块。
具体地，该授权模块可以根据该第二网络功能模块的标识和该第一网络功能服务的标识，获取该第二授权信息；当该第二授权信息指示的至少一个网络功能模块包括该第一网络功能模块时，该授权模块确定该第一网络功能模块具有调用该第一网络功能服务的权限；或者当该第二授权信息指示的至少一个网络功能模块不包括该第一网络功能模块时，该授权模块确定该第一网络功能模块没有调用该第一网络功能服务的权限。
可选地，该第二授权信息可以包括允许调用该第一网络功能服务的至少一个网络功能模块中每个网络功能模块的标识。
作为又一个可选实施例，该第一信息包括该第一网络功能模块的类型和该第一网络功能模块的标识，该第二网络功能模块包括该第二网络功能模块的类型和该第二网络功能模块的标识，该第三信息包括该第一网络功能服务的标识时，该授权模块可以根据该第一网络功能模块的类型、该第一网络功能模块的标识，该第二网络功能模块的类型、该第二网络功能模块的标识和预配置的第三授权信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。其中，该第三授权信息用于指示允许调用该第一网络功能服务的网络功能模块的至少一种类型，以及该至少一种类型中每种类型对应的至少一个网络功能模块。
具体地，该授权模块可以根据该第二网络功能模块的类型、该第二网络功能模块的标识和该第一网络功能服务的标识，获取该第三授权信息；当第三授权信息指示的该至少一种类型包括该第一网络功能模块的类型，且该至少一个网络功能模块包括该第一网络功能模块时，该授权模块确定该第一网络功能模块具有调用该第一网络功能服务的权限；或者当该至少一种类型不包括该第一网络功能模块的类型，或者当该第三授权信息指示的至少一个网络功能模块不包括该第一网络功能模块时，该授权模块确定该第一网络功能模块没 有调用该第一网络功能服务的权限。
可选地，该第三授权信息可以包括允许调用该第一网络功能服务的网络功能模块的至少一种类型，以及与每种类型对应的至少一个网络功能模块中每个网络功能模块的标识。
可选地，该第一请求消息还可以携带该第一网络功能模块所属的网络切片的标识、为该第一网络功能模块提供服务的运营商的标识、该第一网络功能模块的服务请求参数中的至少一项，本申请实施例对此不作限定。
应理解，网络切片可以理解为能够提供特定网络能力和网络特性的逻辑网络，一个网络切片中可以包括多个网络功能模块。
可选地，本申请实施例中的网络切片的标识可以为该网络切片的名称、域名、ID、编号等；网络该运营商的标识可以为公共陆地移动网络(public land mobile network，PLMN)ID、名称、编号等，本申请实施例对此不做限定。
相应地，S220可以为该授权模块根据该第一网络功能模块所属的网络切片的标识、为该第一网络功能模块提供服务的运营商的标识、该第一网络功能模块的服务请求参数中的至少一项以及该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
应理解，该第一网络功能模块调用第一网络功能服务为不同用户设备提供服务时，可能具有不同的权限，由于授权模块中并未存储与用户设备相关的授权策略，因此，本申请实施例提供的网络架构中还可以包括用户数据管理模块，该授权模块可以向该用户数据管理模块请求该用户设备对应的该第一网络功能服务的授权策略。
可选地，该用户数据管理模块可以为如图1中所示的UDM，本申请实施例对此不作限定。
可选地，当该第一网络功能服务为用户设备提供服务时，在S220之前，该授权模块可以向用户数据管理模块发送第二请求消息，该第二请求消息用于请求该用户设备对应的该第一网络功能服务的授权策略，且该第二请求消息携带该用户设备的标识，该授权策略用于指示是否授予该第一网络功能模块调用该用户设备对应的该第一网络功能服务的权限；该授权模块接收该用户数据管理模块根据该用户设备的标识发送的授权策略。
相应地，S220可以为该授权模块根据该第一信息、该第二信息、该第三信息和该授权策略，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
可选地，该用户数据管理模块中可以预先配置网络中至少一个用户设备中每个用户设备对应的至少一种网络功能服务的授权策略或授权规则，本申请实施例对此不作限定。
S230，当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌，该令牌用于指示该第一网络功能模块具有调用该第二网络功能模块的该第一网络功能服务的权限；相应地，该第一网络功能模块接收该授权模块发送的该令牌。
可选地，在S230之前，该方法还包括：该授权模块生成该令牌。
可选地，在S230之前，该授权模块可以对该第一网络功能模块进行身份认证；S230可以为当确定身份认证成功，且该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送该令牌。
本申请实施例提供的用于调用网络功能服务的方法，授权模块在对该第一网络功能模 块的身份认证成功时，向该第一网络功能模块发送该令牌，能够提高授权的安全性。
可选地，该第一网络功能模块也可以对该授权模块进行身份认证，从而能够进一步增强通信的安全性。
可选地，本申请实施例中的身份认证的方法可以包括基于对称密钥的加密算法或基于非对称加密的加密算法，本申请实施例对此不作限定。
图3示出了本申请实施例提供的令牌的格式示意图。
如图3所示，该令牌可以携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块为该第一网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块为该第二网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务，该至少一种网络功能服务包括该第一网络功能服务。
可选地，该第四信息可以包括请求调用网络功能服务的网络功能模块的类型和/或标识，该第五信息可以包括提供网络功能服务的网络功能模块的类型和/或标识，该第六信息可以包括该至少一种网络功能服务中每种网络功能服务的标识，本申请实施例对此不作限定。
如图3所示，该令牌还可以携带该令牌的标识、消息验证码(数字签名)和该消息验证码(数字签名)的算法。
例如，消息验证码的计算方法可以为MAC(info,K)，其中，info包括令牌中记录的信息(除消息验证码和数字签名外)，K为授权模块和第一网络功能模块共享的对称密钥，MAC为消息认证码的计算函数，例如基于哈希消息验证码(keyed-hash message authentication code，HMAC)算法。
又例如，数字签名的计算方法可以为E(PRAS,info)，其中，info包括令牌中记录的信息(除消息验证码和数字签名外)，PRAS为授权模块的私钥，E为非对称加密算法，例如RSA(Rivest–Shamir–Adleman)算法。
如图3所示，该令牌还可以携带该令牌的生效时间和失效时间中的至少一项或有效期。其中，当该令牌携带生效时间或失效时间时，该令牌还可以携带有效时长。
例如，本申请实施例中该令牌的生效时间为2017年01月01日12点38分21秒，可以表示为：20170101123821；该令牌的失效时间为2017年02月01日14点40分51秒，可以表示为：20170201144051；该令牌的有效期为生效时间至失效时间(即2017年1月1日12点38分21秒至2017年2月1日14点40分51秒)，可以表示为20170101123821～20170201144051；有效时长可以为失效时间与生效时间之间的时间差(即1月0日2小时2分钟30秒)，可以表示为00000100020230。
如图3所示，该令牌还可以携带运营商的标识(例如PLMN ID)或颁发所述令牌的授权模块的标识，本申请实施例对此不作限定。
图4示出了本申请实施例提供的用于调用网络功能服务的方法400的示意性流程图。该方法400例如可以应用于如图1所示的网络架构。
S410，第一网络功能模块向第二网络功能模块发送第四请求消息，该第四请求消息用于请求调用该第二网络功能模块提供的第一网络功能服务，且该第四请求消息携带第一信息、第二信息、第三信息和令牌，该第一信息用于指示该第一网络功能模块，该第二信息 用于指示该第二网络功能模块、该第三信息用于指示该第一网络功能服务，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务；相应地，该第二网络功能模块接收该第一网络功能模块发送的该第四请求消息。
可选地，该第一信息可以包括该第一网络功能模块的类型和/或标识，该第二信息可以包括该第二网络功能模块的类型和/或标识，该第三信息可以包括该第一网络功能服务的标识，本申请实施例对此不作限定。
可选地，该第四信息可以包括请求调用网络功能服务的网络功能模块的类型和/或标识，该第五信息可以包括提供网络功能服务的网络功能模块的类型和/或标识，该第六信息可以包括该至少一种网络功能服务中每种网络功能服务的标识，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的类型可以包括AMF、SMF、NRF、NEF、AF等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能模块的标识可以包括名称、ID、编号、域名、NAI、IP地址等，本申请实施例对此不作限定。
可选地，本申请实施例中的网络功能服务的标识可以包括该网络功能服务的名称、ID、编号等，本申请实施例对此不作限定。
S420，该第二网络功能模块确定该第四信息指示的网络功能模块与该第一网络功能模块是否相同，该第五信息指示的网络功能模块与该第二网络功能模块是否相同，以及该第六信息指示的该至少一种网络功能服务是否包括该第一网络功能服务。
具体地，该第二网络功能模块可以对该第四请求消息中的信息与该令牌中的信息进行匹配，即对该第四请求消息中的该第一信息和该令牌中的该第四信息进行匹配，对该第四请求消息中的该第二信息和该令牌中该第五信息进行匹配，对该第四请求消息中的第三信息和该令牌中的第六信息进行匹配，得到匹配结果。
S430，当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
相应地，当确定该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
应理解，该第一网络功能模块可以提供至少一种网络功能服务，该第二网络功能模块可以提供至少一种网络功能服务，且该第一网络功能模块和该第二网络功能模块提供的网络功能服务不同。
可选地，该授权模块例如可以为图1中所示的NRF模块，该第一网络功能模块和该第二网络功能模块可以为图1中所示的除NRF模块、UE和RAN以外的任意两个网络功能模块。例如，该第一网络功能模块可以为图1中NEF模块，该第二网络功能模块可以 为图1中的AF模块，本申请实施例对此不作限定。
可选地，第一信息可以包括该第一网络功能模块的类型和/或标识，该第二信息可以包括该第二网络功能模块的类型和/或标识，该第三信息可以包括该第一网络功能服务的标识，本申请实施例对此不作限定。
应理解，当授权模块发现某个网络功能模块被入侵或者非法访问，或者由于运营商调整网络管理策略需要关闭该网络功能模块的访问权限，该授权模块可以撤销对该网络功能模块中的网络功能服务颁发的令牌，即该授权模块需要确认已被撤销的至少一个令牌。
可选地，该授权模块可以向该第二网络功能模块指示已被撤销的至少一个令牌，该第二网络功能模块自己验证令牌的有效性；或者该第二网络功能模块可以将该令牌发送给授权模块，请求授权模块验证该令牌的有效性，以得到验证结果，并将验证结果发送给该第二网络功能模块，本申请实施例对此不作限定。
可选地，该令牌可以包括该令牌的标识。
作为一个可选实施例，在S430之前，该第二网络功能模块可以向该授权模块发送该第三请求消息，该第三请求消息携带该令牌；该授权模块可以根据该令牌的标识和本地存储的已被撤销的至少一个令牌的标识，验证该令牌的有效性，以得到第一验证结果，并向该第二网络功能模块发送该第一验证结果；相应地，该第二网络功能模块接收该授权模块根据该第三请求消息发送的第一验证结果，该第一验证结果包括有效或无效。S430可以为当确定该第一验证结果为有效，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
相应地，当确定该第一验证结果为无效，或该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该第二网络功能模块根据该令牌的标识和本地存储的已被撤销的至少一个令牌的标识，验证该令牌的有效性，以得到第一验证结果，可以为该第二网络功能模块确定该至少一个令牌的标识中是否包括该令牌的标识，当该至少一个令牌的标识中包括该令牌的标识时，确定该第一验证结果为无效，当该至少一个令牌的标识中不包括该令牌的标识时，确定该第一验证结果为无效。
可选地，该授权模块可以通过至少一个比特指示该第一验证结果，本申请实施例对此不作限定。
例如，该授权模块可以通过1个比特指示该第一验证结果，该1个比特为1表示有效，该1个比特为0表示无效。
作为另一个可选实施例，在S430之前，该第二网络功能模块可以接收该授权模块发送的第七信息，该第七信息包括已被撤销的至少一个令牌的标识；确定该至少一个令牌的标识中是否包括该令牌的标识。S430可以为当确定该至少一个令牌的标识不包括该令牌的标识，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能 服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
相应地，当确定该至少一个令牌的标识包括该令牌的标识，或该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该授权模块可以周期性向该第二网络功能模块发送该第七信息，或者该授权模块可以根据该第二网络模块的请求向该第二网络功能模块发送该第七信息，本申请实施例对此不作限定。
本申请实施例提供的用于调用网络功能服务的方法，授权模块或第二网络功能模块根据已被撤销的至少一个令牌的标识中是否包括用于调用该第一网络功能服务时使用的令牌的标识，确认该令牌是否已被撤销，能够防止使用已被撤销的无效令牌调用网络功能服务，从能够提高调用网络功能服务的安全性。
此外，授权模块将已被撤销的至少一个令牌指示给第二网络功能模块，以使得第二网络功能模块能够自己确认令牌的有效性，而无需每次将令牌发送给授权模块确认，从而能够减少信令的开销。
可选地，该令牌还可以携带消息验证码和数字签名中的至少一项。
作为一个可选实施例，在S430之前，该第二网络功能模块可以验证该消息验证码和/或该数字签名，得到第二验证结果，该第二验证结果可以为成功或失败。S440可以为当确定该第二验证结果为成功，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
相应地，当确定该第二验证结果为失败，或该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该第二网络功能模块可以通过至少一个比特指示该第一验证结果。
例如，该第二网络模块可以通过1比特指示该第一验证结果，该1比特为1表示成功，该1比特为0表示失败。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块对消息验证码或数字签名进行验证，验证通过后才给该第一网络功能模块提供该第一网络功能服务，能够提高调用网络功能服务的安全性。
可选地，该令牌还携带该令牌的生效时间和失效时间中的至少一项或有效期。其中，当该令牌携带生效时间或失效时间时，该令牌还可以携带有效时长。
应理解，该令牌的有效期可以为生效时间+失效时间，或者生效时间+有效时长。
作为一个可选实施例，在S430之前，该第二网络功能模块可以根据该令牌的生效时间和失效时间中的至少一项或有效期，验证该令牌的有效期，以得到第三验证结果，该第三验证结果可以为有效或无效。S430可以为当确定该第三验证结果为有效，该请求授权 的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
作为一个可选实施例，该授权模块可以根据当前时间晚于该令牌的生效时间，且早于该令牌的失效时间，确定该令牌有效。
作为另一个可选实施例，该授权模块可以根据当前时间在该令牌的有效期内，确定该令牌有效。
相应地，当确定该第三验证结果为无效，或该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块根据令牌中的该令牌的生效时间和失效时间中的至少一项或有效期，验证该令牌的是否有效，能够防止使用过期的无效令牌调用网络功能服务，从能够提高调用网络功能服务的安全性。
可选地，在S430之前，该第二网络功能模块可以对该第一网络功能模块进行身份认证；S430可以为当身份认证成功，该请求授权的网络功能模块与该第一网络功能模块相同，该被授权的网络功能模块与该第二网络功能模块相同，且该被授权的至少一个网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
相应地，当确定身份认证失败，或该请求授权的网络功能模块与该第一网络功能模块不同，或该被授权的网络功能模块与该第二网络功能模块不同，或该被授权的至少一个网络功能服务不包括该第一网络功能服务时，该第二网络功能模块拒绝向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
本申请实施例提供的用于调用网络功能服务的方法，第二网络功能模块在对该第一网络功能模块的身份认证成功时，向该第一网络功能模块发送服务响应消息，能够提高调用网络功能服务的安全性。
可选地，该第一网络功能模块也可以对该第二网络功能模块进行身份认证，从而能够进一步增强通信的安全性。
可选地，本申请实施例中的身份认证的方法可以包括基于对称密钥的加密算法或基于非对称加密的加密算法，本申请实施例对此不作限定。
应理解，第二网络功能模块可以执行上述提供的一种或多种方式确定是否向第一网络功能模块发送该服务响应消息，本申请实施例对此不作限定。
应理解，本申请实施例中的令牌在有效期内可以重复使用，无需每次请求网络功能服务需要获取令牌，能够节省信令的开销。其中，该有效期的起始时间可以为该令牌的生效时间，该有效期的结束时间可以为该令牌的失效时间，本申请实施例对此不作限定。
还应理解，本申请实施例中的令牌携带第六信息，该第六信息用于指示被授权的至少一种网络功能服务，当该第一网络功能模块请求该至少一个网络功能服务中任一网络功能服务时，无需再次向该授权模块请求令牌，能够进一步节省信令的开销。
例如，该第六信息指示的至少一个网络功能服务包括该第二网络功能模块提供的第二 网络功能服务时，该第一网络功能模块还可以使用该令牌调用该第二网络功能服务。
又例如，在有效期内，该第一网络功能模块可以多次使用该令牌调用该被授权的至少一个网络功能服务。
图5示出了本申请实施例提供的用于调用网络功能服务的方法500的示意性流程图，该方法500例如可以应用于如图1中所示的网络架构。
S510，该第一网络功能模块向该授权模块发送第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；相应地，该授权模块接收该第一网络功能模块发送的该第一请求消息。
可选地，该第一网络功能模块例如可以为图1中所示的AMF模块，该第二网络功能模块例如可以为图1中所示的AUSF模块，该授权模块例如可以为图1中所示的NRF模块，本申请实施例对此不作限定。
例如，该AMF模块可以向该NRF模块发送该第一请求消息，该第一请求消息用于请求获取AUSF模块提供的用户认证(NAUSF_UE Authentication)服务，该第一请求消息携带AMF模块的ID、该AUSF模块的ID和该UE Authentication服务的ID。
S520，该授权模块根据该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
例如，该NRF模块可以根据该AMF模块的ID、该AUSF模块的ID和该UE Authentication服务的ID，确定该AMF是否具有调用该UE Authentication服务的权限。
可选地，假设该AMF模块的ID为amf0.5gc.mnc000.mcc460.3gppnetwork.org、该第二网络功能模块的ID为ausf1.5gc.mnc000.mcc460.3gppnetwork.org该UE Authentication服务的ID为NAUDF_UE Authentication，则该授权信息例如可以为UE Authentication服务的授权表。
具体地，该NRF模块可以根据该AUSF模块的ID和该UE Authentication服务的ID，从本地存储的多个授权表中获取如图6所示的授权表；该NRF模块可以根据该授权表中的至少一个网络功能模块的标识中包括该AMF模块的标识，确定该AMF模块具有调用该UE Authentication服务的权限。
应理解，图6所示的授权表仅为授权信息的一种可选的表现形式，该授权信息还可以为映射表、映射图等能够表示该授权信息的形式，本申请实施例对此不作限定。
S530，当确定该第一网络功能模块具有调用该第一网络功能服务的权限时，该授权模块向该第一网络功能模块发送令牌，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块为该第一网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块为该第二网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务，该至少一种网络功能服务包括该第一网络功能服务；相应地，该第一网络功能模块接收该授权模块发送的该令牌。
S540，该第一网络功能模块向该第二网络功能模块发送第二请求消息，该第二请求消息用于请求调用该第一网络功能服务，且该第二请求消息携带该第一信息、该第二信息、 该第三信息和该令牌；相应地，该第二网络功能模块接收该第一网络功能模块发送的该第二请求消息。
例如，该AMF模块可以向AUSF模块发送第二请求消息，该第二请求消息用于请求UE AUthentication服务，且该第二请求消息携该AMF模块的ID、该AUSF模块的ID、该UE AUthentication服务的ID，和如图3中所示的令牌。
S550，该第二网络功能模块确定该第四信息指示的网络功能模块与该第一网络功能模块是否相同，该第五信息指示的网络功能模块与该第二网络功能模块是否相同，以及该第六信息指示的该至少一种网络功能服务是否包括该第一网络功能服务。
具体地，该第二网络功能模块可以将该第二请求消息中的信息与该令牌中的信息进行匹配，得到匹配结果。
S560，当确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息；相应地，该第一网络功能模块接收该第二网络功能模块发送的该服务响应消息。
例如，如图3中所示，该AUSF模块根据请求调用网络功能服务的网络功能模块的标识与该AMF模块的ID相同，提供网络功能服务的网络功能模块的标识与该AUSF模块的ID相同，以及网络功能服务列表中包括该UE Authentication服务的ID，向该第一网络功能模块发送该UE Authentication服务的服务响应消息。
可选地，该UE Authentication服务的服务响应消息可以包括与UE Authentication服务请求相关的信息，或UE Authentication服务执行完毕时反馈的ACK(ACKnowledgement)，本申请实施例对此不作限定。
图7示出了本申请实施例提供的用于调用网络功能服务的方法，该方法例如可以应用于如图1中所示的网络架构。
S710，该第一网络功能模块向第二网络功能模块发送第一请求消息，该第一请求消息用于请求调用第二网络功能模块提供的第一网络功能服务，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务；相应地，该第二网络功能模块接收该第一网络功能模块发送的该第一请求消息。
可选地，该第一网络功能模块例如可以为图1中所示的AMF模块，该第二网络功能模块例如可以为图1中所示的AUSF模块，该授权模块例如可以为图1中所示的NRF模块，本申请实施例对此不作限定。
例如，该AMF模块可以向该AUSF模块发送该第一请求消息，该第一请求消息用于请求获取AUSF模块提供的用户认证(NAUSF_UE Authentication)服务，该第一请求消息携带AMF模块的标识(identification，ID)、该AUSF模块的ID和该UE Authentication服务的ID。
S720，该第二网络功能模块根据该第一信息、该第二信息和该第三信息，向该授权模块发送第二请求消息，该第二请求消息用于请求验证该第一网络功能模块调用该第一网络功能服务的权限，且该第二请求消息携带该第一信息、该第二信息和该第三信息；相应地， 该授权模块接收该第二网络功能模块发送的该第二请求消息。
例如，该AUSF模块可以根据该第一请求消息，向该NRF模块发送第二请求消息，该第二请求消息用于请求验证该AMF模块调用该UE Authentication服务的权限，且该第二请求消息携带该AMF模块的ID、该AUSF模块的ID和该UE Authentication服务的ID。
S730，该授权模块根据该第一信息、该第二信息和该第三信息，验证该第一网络功能模块是否具有调用该第一网络功能服务的权限，以得到验证结果，该验证结果包括该第一网络功能模块具有调用该第一网络功能服务的权限或该第一网络功能模块不具有调用该第一网络功能服务的权限。
可选地，该授权模块可以通过至少一个比特指示该验证结果，本申请实施例对此不作限定。
作为一个可选实施例，该授权模块可以通过1比特指示该验证结果，例如，通过该1比特为1表示该第一网络功能模块具有调用该第一网络功能服务的权限，通过该1比特为0表示该第一网络功能模块不具有调用该第一网络功能服务的权限。
例如，该NRF模块可以根据该AUSF模块的ID和该UE Authentication服务的ID，从本地存储的多个授权表中获取图7中所示的授权表；该NRF模块可以根据该授权表中的至少一个网络功能模块的标识中包括该AMF模块的标识，确定该AMF模块具有调用该UE Authentication服务的权限。
S740，该授权模块向该第二网络功能模块发送该验证结果；相应地，该第二网络功能模块接收该授权模块发送的该验证结果。
例如，该NRF模块向该AUSF模块发送验证结果，该验证结果用于指示该AMF模块具有调用该UE Authentication服务的权限。
S750，当该验证结果为该第一网络功能模块具有调用该第一网络功能服务的权限时，该第二网络功能模块向该第一网络功能模块发送该第一网络功能服务的服务响应消息；相应地，该第一网络功能模块接收该第二网络功能模块发送的该服务响应消息。
例如，该AUSF模块根据该验证结果指示该AMF模块具有调用该UE Authentication服务的权限，向该AMF模块发送该UE Authentication服务的服务响应消息。
上面结合图1至图7详细描述了本申请实施例提供的用于调用网络功能服务的方法，下面将结合图8至图14描述本申请实施例提供的用于调用网络功能服务的装置。
图8示出了本申请实施例提供的用于调用网络功能服务的装置800，该装置800包括：
接收单元810，用于接收第一网络功能模块发送的第一请求消息，该第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，该第一请求消息携带第一信息、第二信息和第三信息，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务.
处理单元820，用于根据该接收单元810接收的该第一信息、该第二信息和该第三信息，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
发送单元830，用于当该处理单元820确定该第一网络功能模块具有调用该第一网络功能服务的权限时，向该第一网络功能模块发送令牌，该令牌用于指示该第一网络功能模块具有调用该第二网络功能模块的该第一网络功能服务的权限。
可选地，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用 网络功能服务的网络功能模块为该第一网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块为该第二网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务，该至少一种网络功能服务包括该第一网络功能服务。
可选地，该第一网络功能服务是为用户设备服务的，该发送模块还用于向用户数据管理模块发送第二请求消息，该第二请求消息用于请求该用户设备对应的该第一网络功能服务的授权策略，且该第二请求消息携带该用户设备的标识，该授权策略用于指示是否授予该第一网络功能模块调用该用户设备对应的该第一网络功能服务的权限；该接收单元还用于接收该用户数据管理模块根据该用户设备的标识发送的授权策略；该处理单元具体用于根据该第一信息、该第二信息、该第三信息和该授权策略，确定该第一网络功能模块是否具有调用该第一网络功能服务的权限。
可选地，该发送单元还用于向该第二网络功能模块发送第七信息，该第七信息包括已被撤销的至少一个令牌的标识。
可选地，该令牌还携带该令牌的标识，该接收单元还用于接收该第二网络功能模块发送的第三请求消息，该第三请求消息携带该令牌；该处理单元还用于根据该令牌的标识，对该令牌的有效性进行验证，以得到验证结果；该发送单元还用于向该第二网络功能模块发送该验证结果。
应理解，这里的装置800以功能单元的形式体现。这里的术语“单元”可以指应用特有集成电路(application specific integrated circuit，ASIC)、电子电路、用于执行一个或多个软件或固件程序的处理器(例如共享处理器、专有处理器或组处理器等)和存储器、合并逻辑电路和/或其它支持所描述的功能的合适组件。在一个可选例子中，本领域技术人员可以理解，装置800可以具体为上述方法200至方法600实施例中的授权模块，装置800可以用于执行上述方法200至方法600实施例中与授权模块对应的各个流程和/或步骤，为避免重复，在此不再赘述。
图9示出了本申请实施例提供的用于调用网络功能服务的装置900，该装置900包括：
发送单元910，用于向第二网络功能模块发送第四请求消息，该第四请求消息用于请求调用该第二网络功能模块提供的第一网络功能服务，且该第四请求消息携带第一信息、第二信息、第三信息和令牌，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块，该第三信息用于指示该第一网络功能服务，该令牌用于指示该第一网络功能模块具有调用该第二网络功能模块的该第一网络功能服务的权限；
接收单元920，用于接收该第二网络功能模块发送的该第一网络功能服务的服务响应消息，该服务响应消息是根据该发送单元910发送的该第一信息、该第二信息、该第三信息和该令牌发送的。
可选地，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务。
可选地，该发送单元还用于在向第二网络功能模块发送第四请求消息之前，向授权模块发送第一请求消息，该第一请求消息用于请求获取该第一网络功能服务的调用权限，该 第一请求消息携带该第一信息、该第二信息和该第三信息；该接收单元还用于接收该授权模块发送的该令牌，该令牌是根据该第一信息、该第二信息和该第三信息发送的。
应理解，这里的装置900以功能单元的形式体现。这里的术语“单元”可以指ASIC、电子电路、用于执行一个或多个软件或固件程序的处理器(例如共享处理器、专有处理器或组处理器等)和存储器、合并逻辑电路和/或其它支持所描述的功能的合适组件。在一个可选例子中，本领域技术人员可以理解，装置900可以具体为上述方法200至方法600实施例中的第二网络节点，装置900可以用于执行上述方法200至方法600实施例中与第一网络功能模块对应的各个流程和/或步骤，为避免重复，在此不再赘述。
图10示出了本申请实施例提供的用于调用网络功能服务的装置1000，该装置1000包括：
接收单元1010，用于接收第一网络功能模块发送的第四请求消息，该第四请求消息用于请求调用该第二网络功能模块提供的第一网络功能服务，且该第四请求消息携带第一信息、第二信息、第三信息和令牌，该第一信息用于指示该第一网络功能模块，该第二信息用于指示该第二网络功能模块、该第三信息用于指示该第一网络功能服务，该令牌携带第四信息、第五信息和第六信息，该第四信息用于指示请求调用网络功能服务的网络功能模块，该第五信息用于指示提供网络功能服务的网络功能模块，该第六信息用于指示该第一网络功能模块有权限调用的、该第二网络功能模块提供的至少一种网络功能服务。
处理单元1020，用于确定该接收单元1010接收的该第四信息指示的网络功能模块与该第一网络功能模块是否相同，该第五信息指示的网络功能模块与该第二网络功能模块是否相同，以及该第六信息指示的该至少一种网络功能服务是否包括该第一网络功能服务；
发送单元1030，用于当该处理单元1020确定该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该令牌还携带该令牌的标识，该接收单元还用于接收该授权模块发送的第七信息，该第七信息包括已被撤销的至少一个令牌的标识；该处理单元还用于确定该至少一个令牌的标识中是否包括该令牌的标识；该发送单元具体用于当确定该至少一个令牌的标识不包括该令牌的标识，该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
可选地，该令牌还携带该令牌的标识，该发送单元还用于向该授权模块发送第三请求消息，该第三请求消息用于请求验证该令牌的有效性，且该第三请求消息携带该令牌；该接收单元还用于接收该授权模块根据该令牌的标识发送的验证结果，该验证结果为有效或无效；该发送单元具体用于当确定该验证结果为有效，该第四信息指示的网络功能模块与该第一网络功能模块相同，该第五信息指示的网络功能模块与该第二网络功能模块相同，且该第六信息指示的至少一种网络功能服务包括该第一网络功能服务时，向该第一网络功能模块发送该第一网络功能服务的服务响应消息。
应理解，这里的装置1000以功能单元的形式体现。这里的术语“单元”可以指ASIC、 电子电路、用于执行一个或多个软件或固件程序的处理器(例如共享处理器、专有处理器或组处理器等)和存储器、合并逻辑电路和/或其它支持所描述的功能的合适组件。在一个可选例子中，本领域技术人员可以理解，装置1000可以具体为上述方法200至方法600实施例中的第二网络功能模块，装置1000可以用于执行上述方法200至方法600实施例中与第二网络功能模块对应的各个流程和/或步骤，为避免重复，在此不再赘述。
图11示出了本申请实施例提供的用于调用网络功能服务的装置1100，该装置1100可以是图2至图6中所述的授权模块，该授权模块可以采用如图11所示的硬件架构。该授权模块可以包括处理器1110、收发器1120和存储器1130，该处理器1110、收发器1120和存储器1130通过内部连接通路互相通信。图8中的处理单元820所实现的相关功能可以由处理器1110来实现，接收单元810和发送单元830所实现的相关功能可以由处理器1110控制收发器1120来实现。
该处理器1110可以包括是一个或多个处理器，例如包括一个或多个中央处理单元(central processing unit，CPU)，在处理器是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。
该收发器1120用于发送和接收数据和/或信号，以及接收数据和/或信号。该收发器可以包括发射器和接收器，发射器用于发送数据和/或信号，接收器用于接收数据和/或信号。
该存储器1130包括但不限于是随机存取存储器(random access memory，RAM)、只读存储器(read-only memory，ROM)、可擦除可编程存储器(erasable programmable read only memory，EPROM)、只读光盘(compact disc read-only memory，CD-ROM)，该存储器1130用于存储相关指令及数据。
存储器1130用于存储授权模块的程序代码和数据，可以为单独的器件或集成在处理器1110中。
具体地，所述处理器1110用于控制收发器与第一网络功能模块和/或第二网络功能模块通信。具体可参见方法实施例中的描述，在此不再赘述。
可以理解的是，图11仅仅示出了授权模块的简化设计。在实际应用中，授权模块还可以分别包含必要的其他元件，包含但不限于任意数量的收发器、处理器、控制器、存储器等，而所有可以实现本申请的授权模块都在本申请的保护范围之内。
在一种可能的设计中，装置1100可以为芯片，例如可以为可用于授权模块中的通信芯片，用于实现授权模块中处理器1110的相关功能。该芯片可以为实现相关功能的现场可编程门阵列，专用集成芯片，系统芯片，中央处理器，网络处理器，数字信号处理电路，微控制器，还可以采用可编程控制器或其他集成芯片。该芯片中，可选的可以包括一个或多个存储器，用于存储程序代码，当所述代码被执行时，使得处理器实现相应的功能。
图12示出了本申请实施例提供的用于调用网络功能服务的装置1200，该装置1200可以为图2至图6中所述的第一网络功能模块，该第一网络功能模块可以采用如图12所示的硬件架构。该第一网络功能模块可以包括处理器1210、收发器1220和存储器1230，该处理器1210、收发器1220和存储器1230通过内部连接通路互相通信。图9中的发送单元910和接收单元920所实现的相关功能可以由处理器1210控制收发器1220来实现。
该处理器1210可以包括是一个或多个处理器，例如包括一个或多个CPU，在处理器是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。
该收发器1220用于发送和接收数据和/或信号，以及接收数据和/或信号。该收发器可以包括发射器和接收器，发射器用于发送数据和/或信号，接收器用于接收数据和/或信号。
该存储器1230包括但不限于是RAM、ROM、EPROM、CD-ROM，该存储器1230用于存储相关指令及数据。
存储器1230用于存储第一网络功能模块的程序代码和数据，可以为单独的器件或集成在处理器1210中。
具体地，所述处理器1210用于控制收发器与授权模块和/或第二网络功能模块通信。具体可参见方法实施例中的描述，在此不再赘述。
可以理解的是，图12仅仅示出了第一网络功能模块的简化设计。在实际应用中，第一网络功能模块还可以分别包含必要的其他元件，包含但不限于任意数量的收发器、处理器、控制器、存储器等，而所有可以实现本申请的第一网络功能模块都在本申请的保护范围之内。
在一种可能的设计中，装置1200可以为芯片，例如可以为可用于第一网络功能模块中的通信芯片，用于实现第一网络功能模块中处理器1210的相关功能。该芯片可以为实现相关功能的现场可编程门阵列，专用集成芯片，系统芯片，中央处理器，网络处理器，数字信号处理电路，微控制器，还可以采用可编程控制器或其他集成芯片。该芯片中，可选的可以包括一个或多个存储器，用于存储程序代码，当所述代码被执行时，使得处理器实现相应的功能。
图13示出了本申请实施例提供的用于调用网络功能服务的装置1300，该装置1300可以是图2至图6中所述的第二网络功能模块，该第二网络功能模块可以采用如图13所示的硬件架构。该第二网络功能模块可以包括处理器1310、收发器1320和存储器1330，该处理器1310、收发器1320和存储器1330通过内部连接通路互相通信。图10中的处理单元1020所实现的相关功能可以由处理器1310来实现，接收单元1010和发送单元1030所实现的相关功能可以由处理器1310控制收发器1320来实现。
该处理器1310可以包括是一个或多个处理器，例如包括一个或多个CPU，在处理器是一个CPU的情况下，该CPU可以是单核CPU，也可以是多核CPU。
该收发器1320用于发送和接收数据和/或信号，以及接收数据和/或信号。该收发器可以包括发射器和接收器，发射器用于发送数据和/或信号，接收器用于接收数据和/或信号。
该存储器1330包括但不限于是RAM、ROM、EPROM、CD-ROM，该存储器1330用于存储相关指令及数据。
存储器1330用于存储第二网络功能模块的程序代码和数据，可以为单独的器件或集成在处理器1310中。
具体地，所述处理器1310用于控制收发器与授权模块和/或第一网络功能模块通信。具体可参见方法实施例中的描述，在此不再赘述。
可以理解的是，图13仅仅示出了第二网络功能模块的简化设计。在实际应用中，第二网络功能模块还可以分别包含必要的其他元件，包含但不限于任意数量的收发器、处理器、控制器、存储器等，而所有可以实现本申请的第二网络功能模块都在本申请的保护范围之内。
在一种可能的设计中，装置1300可以为芯片，例如可以为可用于第二网络功能模块 中的通信芯片，用于实现第二网络功能模块中处理器1310的相关功能。该芯片可以为实现相关功能的现场可编程门阵列，专用集成芯片，系统芯片，中央处理器，网络处理器，数字信号处理电路，微控制器，还可以采用可编程控制器或其他集成芯片。该芯片中，可选的可以包括一个或多个存储器，用于存储程序代码，当所述代码被执行时，使得处理器实现相应的功能。
图14示出了本申请实施例提供的用于调用网络功能服务的系统1400的示意性框图。该系统1400包括第一网络功能模块1410、授权模块1420和第二网络功能模块1430。
可选地，该第一网络功能模块1410例如可以实现上述方法实施例200至600中第一网络功能模块所实现的功能，该授权模块1420例如可以实现上述方法实施例200至600中授权模块所实现的功能，该第二网络功能模块1430例如可以实现上述方法实施例200至600中第二网络功能模块所实现的功能，为避免重复，此处不再赘述。
可选地，该第一网络功能模块1410例如可以实现上述方法实施例700中第一网络功能模块所实现的功能，该授权模块1420例如可以实现上述方法实施例700中授权模块所实现的功能，该第二网络功能模块1430例如可以实现上述方法实施例700中第二网络功能模块所实现的功能，为避免重复，此处不再赘述。
应理解，本申请实施例中的第一网络功能模块、第二网络功能模块和授权模块均为具有特定功能和网络接口，可以是同一个专用硬件上的不同网元，也可以是同一个专用硬件上运行的不同软件实例，还可以是同一个相关平台(如云基础设施上)上的不同虚拟功能实例，本申请实施例对此不作限定。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者通过所述计算机可读存储介质进行传输。所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(digital subscriber line，DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，数字通用光盘(digital versatile disc，DVD))、或者半导体介质(例如SSD)等。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，该流程可以由计算机程序来指令相关的硬件完成，该程序可存储于计算机可读取存储介质中，该程序在执行时，可包括如上述各方法实施例的流程。而前述的存储介质包括：ROM或RAM、磁碟或者光盘等各种可存储程序代码的介质。
本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本 申请的范围。
所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。
在本申请所提供的几个实施例中，应该理解到，所揭露的系统、装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。
另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。
所述功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。
以上所述，仅为本申请的具体实施方式，但本申请的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本申请揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本申请的保护范围之内。因此，本申请的保护范围应以所述权利要求的保护范围为准。

Claims (23)

  1. 一种用于调用网络功能服务的方法，其特征在于，包括：
    授权模块接收第一网络功能模块发送的第一请求消息，所述第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，所述第一请求消息携带第一信息、第二信息和第三信息，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块，所述第三信息用于指示所述第一网络功能服务；
    所述授权模块根据所述第一信息、所述第二信息和所述第三信息，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限；
    当确定所述第一网络功能模块具有调用所述第一网络功能服务的权限时，所述授权模块向所述第一网络功能模块发送令牌，所述令牌用于指示所述第一网络功能模块具有调用所述第二网络功能模块的所述第一网络功能服务的权限。
  2. 根据权利要求1所述的方法，其特征在于，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块为所述第一网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块为所述第二网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务，所述至少一种网络功能服务包括所述第一网络功能服务。
  3. 根据权利要求1或2所述的方法，其特征在于，所述第一网络功能服务是为用户设备服务的，所述方法还包括：
    所述授权模块向用户数据管理模块发送第二请求消息，所述第二请求消息用于请求所述用户设备对应的所述第一网络功能服务的授权策略，且所述第二请求消息携带所述用户设备的标识，所述授权策略用于指示是否授予所述第一网络功能模块调用所述用户设备对应的所述第一网络功能服务的权限；
    所述授权模块接收所述用户数据管理模块发送的授权策略；
    所述授权模块根据所述第一信息、所述第二信息和所述第三信息，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限，包括：
    所述授权模块根据所述第一信息、所述第二信息、所述第三信息和所述授权策略，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限。
  4. 根据权利要求1至3中任一项所述的方法，其特征在于，所述方法还包括：
    所述授权模块向所述第二网络功能模块发送第七信息，所述第七信息包括已被撤销的至少一个令牌的标识。
  5. 根据权利要求1至3中任一项所述的方法，其特征在于，所述令牌还携带所述令牌的标识，所述方法还包括：
    所述授权模块接收所述第二网络功能模块发送的第三请求消息，所述第三请求消息携带所述令牌；
    所述授权模块根据所述令牌的标识，对所述令牌的有效性进行验证，以得到验证结果；
    所述授权模块向所述第二网络功能模块发送所述验证结果。
  6. 一种用于调用网络功能服务的方法，其特征在于，包括：
    第一网络功能模块向第二网络功能模块发送第四请求消息，所述第四请求消息用于请求调用所述第二网络功能模块提供的第一网络功能服务，且所述第四请求消息携带第一信息、第二信息、第三信息和令牌，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块，所述第三信息用于指示所述第一网络功能服务，所述令牌用于指示所述第一网络功能模块具有调用所述第二网络功能模块的所述第一网络功能服务的权限；以使得所述第二网络功能模块根据所述第一信息、所述第二信息、所述第三信息和所述令牌确定服务响应消息；
    所述第一网络功能模块接收所述第二网络功能模块发送的所述第一网络功能服务的服务响应消息。
  7. 根据权利要求6所述的方法，其特征在于，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务。
  8. 根据权利要求6或7所述的方法，其特征在于，在所述第一网络功能模块向第二网络功能模块发送第四请求消息之前，所述方法还包括：
    所述第一网络功能模块向授权模块发送第一请求消息，所述第一请求消息用于请求获取所述第一网络功能服务的调用权限，所述第一请求消息携带所述第一信息、所述第二信息和所述第三信息；
    所述第一网络功能模块接收所述授权模块发送的所述令牌，所述令牌是根据所述第一信息、所述第二信息和所述第三信息发送的。
  9. 一种用于调用网络功能服务的方法，其特征在于，包括：
    第二网络功能模块接收第一网络功能模块发送的第四请求消息，所述第四请求消息用于请求调用所述第二网络功能模块提供的第一网络功能服务，且所述第四请求消息携带第一信息、第二信息、第三信息和令牌，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块、所述第三信息用于指示所述第一网络功能服务，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块为所述第一网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块为所述第二网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务，所述至少一种网络功能服务包括所述第一网络功能服务；
    所述第二网络功能模块确定所述第四信息指示的网络功能模块与所述第一网络功能模块是否相同，所述第五信息指示的网络功能模块与所述第二网络功能模块是否相同，以及所述第六信息指示的所述至少一种网络功能服务是否包括所述第一网络功能服务；
    当确定所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，所述第二网络功能模块向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  10. 根据权利要求9所述的方法，其特征在于，所述令牌还携带所述令牌的标识，所 述方法还包括：
    所述第二网络功能模块接收所述授权模块发送的第七信息，所述第七信息包括已被撤销的至少一个令牌的标识；
    确定所述至少一个令牌的标识中是否包括所述令牌的标识；
    所述当确定所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，所述第二网络功能模块向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息，包括：
    当确定所述至少一个令牌的标识不包括所述令牌的标识，所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，所述第二网络功能模块向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  11. 根据权利要求9所述的方法，其特征在于，所述令牌还携带所述令牌的标识，所述方法还包括：
    所述第二网络功能模块向所述授权模块发送第三请求消息，所述第三请求消息用于请求验证所述令牌的有效性，且所述第三请求消息携带所述令牌；
    所述第二网络功能模块接收所述授权模块发送的验证结果，所述验证结果为有效或无效；
    所述当确定所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，所述第二网络功能模块向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息，包括：
    当确定所述验证结果为有效，所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，所述第二网络功能模块向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  12. 一种用于调用网络功能服务的装置，其特征在于，包括：
    接收单元，用于接收第一网络功能模块发送的第一请求消息，所述第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，所述第一请求消息携带第一信息、第二信息和第三信息，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块，所述第三信息用于指示所述第一网络功能服务；
    处理单元，用于根据所述接收单元接收的所述第一信息、所述第二信息和所述第三信息，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限；
    发送单元，用于当所述处理单元确定所述第一网络功能模块具有调用所述第一网络功能服务的权限时，向所述第一网络功能模块发送令牌，所述令牌用于指示所述第一网络功能模块具有调用所述第二网络功能模块的所述第一网络功能服务的权限。
  13. 根据权利要求12所述的装置，其特征在于，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块为所述第一网 络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块为所述第二网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务，所述至少一种网络功能服务包括所述第一网络功能服务。
  14. 根据权利要求12或13所述的装置，其特征在于，所述第一网络功能服务是为用户设备服务的，
    所述发送模块还用于向用户数据管理模块发送第二请求消息，所述第二请求消息用于请求所述用户设备对应的所述第一网络功能服务的授权策略，且所述第二请求消息携带所述用户设备的标识，所述授权策略用于指示是否授予所述第一网络功能模块调用所述用户设备对应的所述第一网络功能服务的权限；
    所述接收单元还用于接收所述用户数据管理模块根据所述用户设备的标识发送的授权策略；
    所述处理单元具体用于根据所述第一信息、所述第二信息、所述第三信息和所述授权策略，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限。
  15. 根据权利要求12至14中任一项所述的装置，其特征在于，
    所述发送单元还用于向所述第二网络功能模块发送第七信息，所述第七信息包括已被撤销的至少一个令牌的标识。
  16. 根据权利要求12至14中任一项所述的装置，其特征在于，所述令牌还携带所述令牌的标识，
    所述接收单元还用于接收所述第二网络功能模块发送的第三请求消息，所述第三请求消息携带所述令牌；
    所述处理单元还用于根据所述令牌的标识，对所述令牌的有效性进行验证，以得到验证结果；
    所述发送单元还用于向所述第二网络功能模块发送所述验证结果。
  17. 一种用于调用网络功能服务的装置，其特征在于，包括：
    发送单元，用于向第二网络功能模块发送第四请求消息，所述第四请求消息用于请求调用所述第二网络功能模块提供的第一网络功能服务，且所述第四请求消息携带第一信息、第二信息、第三信息和令牌，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块，所述第三信息用于指示所述第一网络功能服务，所述令牌用于指示所述第一网络功能模块具有调用所述第二网络功能模块的所述第一网络功能服务的权限；
    接收单元，用于接收所述第二网络功能模块发送的所述第一网络功能服务的服务响应消息。
  18. 根据权利要求17所述的装置，其特征在于，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务。
  19. 根据权利要求17或18所述的装置，其特征在于，
    所述发送单元还用于在向第二网络功能模块发送第四请求消息之前，向授权模块发送 第一请求消息，所述第一请求消息用于请求获取所述第一网络功能服务的调用权限，所述第一请求消息携带所述第一信息、所述第二信息和所述第三信息；以使得所述授权模块根据所述第一信息、所述第二信息和所述第三信息确定所述令牌；
    所述接收单元还用于接收所述授权模块发送的所述令牌。
  20. 一种用于调用网络功能服务的装置，其特征在于，包括：
    接收单元，用于接收第一网络功能模块发送的第四请求消息，所述第四请求消息用于请求调用所述第二网络功能模块提供的第一网络功能服务，且所述第四请求消息携带第一信息、第二信息、第三信息和令牌，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块、所述第三信息用于指示所述第一网络功能服务，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务；
    处理单元，用于确定所述接收单元接收的所述第四信息指示的网络功能模块与所述第一网络功能模块是否相同，所述第五信息指示的网络功能模块与所述第二网络功能模块是否相同，以及所述第六信息指示的所述至少一种网络功能服务是否包括所述第一网络功能服务；
    发送单元，用于当所述处理单元确定所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  21. 根据权利要求20所述的装置，其特征在于，所述令牌还携带所述令牌的标识，
    所述接收单元还用于接收所述授权模块发送的第七信息，所述第七信息包括已被撤销的至少一个令牌的标识；
    所述处理单元还用于确定所述至少一个令牌的标识中是否包括所述令牌的标识；
    所述发送单元具体用于当确定所述至少一个令牌的标识不包括所述令牌的标识，所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  22. 根据权利要求20所述的装置，其特征在于，所述令牌还携带所述令牌的标识，
    所述发送单元还用于向所述授权模块发送第三请求消息，所述第三请求消息用于请求验证所述令牌的有效性，且所述第三请求消息携带所述令牌；
    所述接收单元还用于接收所述授权模块根据所述令牌的标识发送的验证结果，所述验证结果为有效或无效；
    所述发送单元具体用于当确定所述验证结果为有效，所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息。
  23. 一种用于调用网络功能服务的系统，其特征在于，包括：第一网络功能模块、第二网络功能模块和授权模块；
    所述第一网络功能模块用于：向所述授权模块发送第一请求消息，所述第一请求消息用于请求获取第二网络功能模块提供的第一网络功能服务的调用权限，所述第一请求消息携带第一信息、第二信息和第三信息，所述第一信息用于指示所述第一网络功能模块，所述第二信息用于指示所述第二网络功能模块，所述第三信息用于指示所述第一网络功能服务；
    所述授权模块用于：接收所述第一网络功能模块发送的所述第一请求消息；根据所述第一信息、所述第二信息和所述第三信息，确定所述第一网络功能模块是否具有调用所述第一网络功能服务的权限；当确定所述第一网络功能模块具有调用所述第一网络功能服务的权限时，向所述第一网络功能模块发送令牌，所述令牌携带第四信息、第五信息和第六信息，所述第四信息用于指示请求调用网络功能服务的网络功能模块为所述第一网络功能模块，所述第五信息用于指示提供网络功能服务的网络功能模块为所述第二网络功能模块，所述第六信息用于指示所述第一网络功能模块有权限调用的、所述第二网络功能模块提供的至少一种网络功能服务，所述至少一种网络功能服务包括所述第一网络功能服务；
    所述第一网络功能模块还用于接收所述授权模块发送的所述令牌；向所述第二网络功能模块发送第四请求消息，所述第四请求消息用于请求调用所述第一网络功能服务，且所述第四请求消息携带所述第一信息、所述第二信息、所述第三信息和所述令牌；
    所述第二网络功能模块用于接收所述第一网络功能模块发送的所述第四请求消息；确定所述第四信息指示的网络功能模块与所述第一网络功能模块是否相同，所述第五信息指示的网络功能模块与所述第二网络功能模块是否相同，以及所述第六信息指示的所述至少一种网络功能服务是否包括所述第一网络功能服务；当确定所述第四信息指示的网络功能模块与所述第一网络功能模块相同，所述第五信息指示的网络功能模块与所述第二网络功能模块相同，且所述第六信息指示的至少一种网络功能服务包括所述第一网络功能服务时，向所述第一网络功能模块发送所述第一网络功能服务的服务响应消息；
    所述第一网络功能模块还用于接收所述第二网络功能模块发送的所述服务响应消息。
PCT/CN2018/093421 2017-09-28 2018-06-28 用于调用网络功能服务的方法、装置和系统 WO2019062235A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
EP18860269.2A EP3570515B1 (en) 2017-09-28 2018-06-28 Method, device, and system for invoking network function service
US16/566,018 US11218314B2 (en) 2017-09-28 2019-09-10 Network function service invocation method, apparatus, and system
US17/540,664 US11956361B2 (en) 2017-09-28 2021-12-02 Network function service invocation method, apparatus, and system

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201710897850.XA CN109587187B (zh) 2017-09-28 2017-09-28 用于调用网络功能服务的方法、装置和系统
CN201710897850.X 2017-09-28

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/566,018 Continuation US11218314B2 (en) 2017-09-28 2019-09-10 Network function service invocation method, apparatus, and system

Publications (1)

Publication Number Publication Date
WO2019062235A1 true WO2019062235A1 (zh) 2019-04-04

Family

ID=65900516

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/093421 WO2019062235A1 (zh) 2017-09-28 2018-06-28 用于调用网络功能服务的方法、装置和系统

Country Status (4)

Country Link
US (2) US11218314B2 (zh)
EP (1) EP3570515B1 (zh)
CN (1) CN109587187B (zh)
WO (1) WO2019062235A1 (zh)

Families Citing this family (27)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11303676B2 (en) * 2017-11-16 2022-04-12 Samsung Electronics Co., Ltd. Method and system for authenticating application program interface (API) invokers
CN115361183A (zh) * 2019-04-29 2022-11-18 华为技术有限公司 一种代理订阅的授权方法及装置
CN112492592A (zh) * 2019-09-11 2021-03-12 华为技术有限公司 一种多个nrf场景下的授权方法
CN112887260A (zh) * 2019-11-30 2021-06-01 华为技术有限公司 授权方法及装置
CN111163473B (zh) * 2020-01-02 2020-11-13 广州爱浦路网络技术有限公司 一种基于nrf权限等级的5g核心网数据防护方法
CN113259930A (zh) * 2020-02-10 2021-08-13 大唐移动通信设备有限公司 调用的请求、查询、授权处理方法、设备及装置、介质
EP3886390A1 (en) * 2020-03-26 2021-09-29 Nokia Technologies Oy Token management
CN112000949B (zh) * 2020-08-26 2023-06-16 中国联合网络通信集团有限公司 程序包调用方法、系统、终端设备及计算机可读存储介质
US20220067128A1 (en) * 2020-09-03 2022-03-03 Zhengzhou Fulian Intelligent Workshop Co., Ltd. Terminal device security management device, method, and terminal device
WO2022073213A1 (en) * 2020-10-09 2022-04-14 Nokia Shanghai Bell Co., Ltd. Mechanism for dynamic authorization
EP3982615B1 (en) 2020-10-12 2024-09-11 Nokia Technologies Oy Authorization in communication networks
CN112367665B (zh) * 2020-11-02 2022-02-01 广州爱浦路网络技术有限公司 一种5G核心网中pNF通过NRF认证cNF的方法、装置及系统
US11943616B2 (en) 2020-11-13 2024-03-26 Oracle International Corporation Methods, systems, and computer readable media for utilizing network function identifiers to implement ingress message rate limiting
CN112437435A (zh) * 2020-12-07 2021-03-02 腾讯科技（深圳）有限公司 一种数据信息获取方法、装置、相关设备及介质
US11895501B2 (en) * 2020-12-08 2024-02-06 Oracle International Corporation Methods, systems, and computer readable media for automatic key management of network function (NF) repository function (NRF) access token public keys for 5G core (5GC) authorization to mitigate security attacks
CN114745258B (zh) * 2020-12-23 2023-09-05 中移(苏州)软件技术有限公司 网元功能体的生成方法、装置、设备及存储介质
US11553524B2 (en) 2021-03-04 2023-01-10 Oracle International Corporation Methods, systems, and computer readable media for resource object level authorization at a network function (NF)
US11620363B1 (en) 2021-03-15 2023-04-04 SHAYRE, Inc. Systems and methods for authentication and authorization for software license management
US11632362B1 (en) * 2021-04-14 2023-04-18 SHAYRE, Inc. Systems and methods for using JWTs for information security
US11425636B1 (en) * 2021-04-16 2022-08-23 Nokia Technologies Oy Network function service subscription control
CN115277458B (zh) * 2021-04-30 2023-11-17 阿里巴巴新加坡控股有限公司 服务提供方法、设备及存储介质
CN115277034A (zh) * 2021-04-30 2022-11-01 华为技术有限公司 一种通信方法、装置及设备
US11621830B1 (en) 2021-06-28 2023-04-04 SHAYRE, Inc. Systems and methods for facilitating asynchronous secured point-to-point communications
EP4125241A1 (en) * 2021-07-30 2023-02-01 Nokia Technologies Oy Secure provision of network services
WO2023248179A1 (en) * 2022-06-22 2023-12-28 Contentful GmbH App actions in a content management system
CN117793951A (zh) * 2022-09-20 2024-03-29 维沃移动通信有限公司 一种网络通信的方法、装置、网络侧设备、终端及介质
WO2024130272A2 (en) * 2023-04-27 2024-06-20 Futurewei Technologies, Inc. Method and apparatus for authorization of mobile joint communication sensing service(s)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103916395A (zh) * 2014-04-09 2014-07-09 北京京东尚科信息技术有限公司 一种服务调用方法、设备及系统
CN104022875A (zh) * 2013-03-01 2014-09-03 中兴通讯股份有限公司 一种双向授权系统、客户端及方法
CN105262780A (zh) * 2015-11-27 2016-01-20 国网信息通信产业集团有限公司 一种权限控制方法及系统
CN105763547A (zh) * 2016-02-04 2016-07-13 中国联合网络通信集团有限公司 第三方授权方法和第三方授权系统

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102638473B (zh) 2012-05-04 2014-12-10 盛趣信息技术（上海）有限公司 一种用户数据授权方法、装置及系统
JP6025480B2 (ja) 2012-09-27 2016-11-16 キヤノン株式会社 認可サーバーシステム、権限移譲システム、その制御方法、およびプログラム
CN104685935B (zh) * 2012-09-27 2019-01-15 交互数字专利控股公司 虚拟化网络中的端到端架构、api框架、发现以及接入
US10033595B2 (en) * 2013-08-27 2018-07-24 Futurewei Technologies, Inc. System and method for mobile network function virtualization
CN104917721B (zh) 2014-03-10 2019-05-07 腾讯科技（北京）有限公司 基于oAuth协议的授权方法、装置和系统
US9699167B1 (en) * 2015-01-06 2017-07-04 Shoretel, Inc. Distributed authentication
KR20190013964A (ko) * 2017-05-09 2019-02-11 노키아 오브 아메리카 코포레이션 IoT 디바이스 접속, 발견 및 네트워킹
US11184236B2 (en) * 2019-04-30 2021-11-23 Intel Corporation Methods and apparatus to control processing of telemetry data at an edge platform

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104022875A (zh) * 2013-03-01 2014-09-03 中兴通讯股份有限公司 一种双向授权系统、客户端及方法
CN103916395A (zh) * 2014-04-09 2014-07-09 北京京东尚科信息技术有限公司 一种服务调用方法、设备及系统
CN105262780A (zh) * 2015-11-27 2016-01-20 国网信息通信产业集团有限公司 一种权限控制方法及系统
CN105763547A (zh) * 2016-02-04 2016-07-13 中国联合网络通信集团有限公司 第三方授权方法和第三方授权系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP3570515A4

Also Published As

Publication number Publication date
US20200007335A1 (en) 2020-01-02
US20220166622A1 (en) 2022-05-26
US11218314B2 (en) 2022-01-04
CN109587187B (zh) 2024-08-02
US11956361B2 (en) 2024-04-09
EP3570515B1 (en) 2024-09-25
CN109587187A (zh) 2019-04-05
EP3570515A1 (en) 2019-11-20
EP3570515A4 (en) 2020-02-26

Similar Documents

Publication Publication Date Title
US11956361B2 (en) Network function service invocation method, apparatus, and system
US11296877B2 (en) Discovery method and apparatus based on service-based architecture
CN110798833B (zh) 一种鉴权过程中验证用户设备标识的方法及装置
WO2020220865A1 (zh) 网络功能服务的身份校验方法及相关装置
KR102424055B1 (ko) 두 개의 ａｐｉ 토큰을 이용한 ａｐｉ 인증 장치 및 방법
WO2017028593A1 (zh) 网络接入设备接入无线网络接入点的方法、网络接入设备、应用程序服务器和非易失性计算机可读存储介质
CN110366159B (zh) 一种获取安全策略的方法及设备
US10148651B2 (en) Authentication system
CN107925567A (zh) 用于使用由证书状态检查服务提供商发布的票证来优化对称密钥高速缓存的系统、装置和方法
CN112512045B (zh) 一种通信系统、方法及装置
WO2019041809A1 (zh) 基于服务化架构的注册方法及装置
KR20170013305A (ko) 보안 무선 충전
US20130239189A1 (en) Bootstrap Authentication Framework
CN114268943A (zh) 授权方法及装置
CN110278084B (zh) eID建立方法、相关设备及系统
JP2021511743A (ja) Ｉｏｔサービスを実施するための方法、アプリケーションサーバ、ｉｏｔ装置および媒体
WO2019056971A1 (zh) 一种鉴权方法及设备
US20220394039A1 (en) Seamlessly securing access to application programming interface gateways
CN113569210A (zh) 分布式身份认证方法、设备访问方法及装置
WO2013071836A1 (zh) 客户端应用访问鉴权处理方法和装置
CN115715004A (zh) 一种针对大规模异构网络的隐私保护跨域认证方法
EP4340297A1 (en) Service function authorization
WO2018137239A1 (zh) 一种鉴权方法、鉴权服务器和核心网设备
TWI755951B (zh) 通訊系統及通訊方法
WO2023216083A1 (zh) 认证方法、装置、介质和芯片

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18860269

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2018860269

Country of ref document: EP

Effective date: 20190814

NENP Non-entry into the national phase

Ref country code: DE